Kort sagt: BSI:s (den tyska federala myndigheten för informationssäkerhet) varningsnivå orange är den näst högsta av fyra nivåer. Den betyder: IT-hotläget är verksamhetskritiskt och normal drift kan påverkas kraftigt. För PHP2Shell har BSI gett nivå 3 och rekommenderar omedelbar uppdatering eller, om det inte går, att tillfälligt ta berörda webbservrar offline. För företag betyder orange: frågan hör redan i dag hemma på ledningens bord.
Vad klassningen betyder för beslutsfattare
Många vd:ar har hört talas om ”varningsnivå orange” i nyheterna utan att veta hur de ska bedöma det. Är det ett larm för alla eller en fråga för IT-avdelningen? Det korta svaret: orange är den nivå där BSI utgår från att berörda riskerar allvarliga störningar i sin verksamhet om de inte agerar snabbt.
Enligt hessenschau talade BSI vid PHP2Shell om en enastående hotpotential. Myndigheten räknade med snabbt och storskaligt utnyttjande. Bekräftade lyckade angrepp i bred skala var vid tidpunkten för varningen enligt BSI inte kända. Båda sakerna hör ihop: den höga nivån beskriver risken, inte en redan inträffad skada.
BSI:s varningsnivå orange och de andra tre nivåerna
BSI placerar sina cybersäkerhetsvarningar på en skala från 1 till 4. Tabellen nedan återger betydelsen i sak:
| Nivå | Färg | Betydelse (i sak) |
|---|---|---|
| 1 | Grå | IT-hotläge utan väsentliga avvikelser |
| 2 | Gul | skärpt observation av avvikelser, normal drift tidvis påverkad |
| 3 | Orange | verksamhetskritiskt läge, kraftig påverkan på normal drift |
| 4 | Röd | extremt kritiskt läge, normal drift kan inte upprätthållas inom många områden |
Nivån säger något om läget i stort, inte om er enskilda server. En fullständigt patchad och kontrollerad webbserver befinner sig i ett bra läge även vid orange. En opatchad server med PHP 8.1 och mod_php är utsatt även vid en lägre nivå.
Så använder ni skalan internt
Många företag har egna beredskapsnivåer, till exempel i beredskapshandboken eller inom ramen för ett ledningssystem för informationssäkerhet. Det lönar sig att koppla BSI:s nivåer fast dit. En enkel regel kan lyda: vid gul kontrollerar IT inom ramen för normal drift. Vid orange informeras ledningen samma dag, en ansvarig utses och status för alla berörda system tas fram skriftligt. Vid röd samlas krisstaben.
Så blir ett nyhetsmeddelande en inövad reaktion. Den som har fastställt kopplingen i förväg behöver inte diskutera om läget är ”allvarligt nog” när det gäller. Vid PHP2Shell hade regeln betytt: inventering, patchplan och beslut om avstängningar redan den 21 oktober.
Själva varningarna publicerar BSI på sin webbplats, där de också uppdateras när nya rön kommer. Det lönar sig att läsa den aktuella versionen, eftersom rekommendationer och bedömningar kan ändras under ett händelseförlopp.
Varför PHP2Shell är orange och inte röd
Som jämförelse används ofta Log4Shell. För sårbarheten i Java-biblioteket Log4j utlyste BSI i december 2021 nivå röd, enligt rapporter från den tiden bland annat eftersom sårbarheten var trivialt utnyttjbar och komprometteringar redan var kända. I januari 2022 sänktes varningen enligt Bundestag till gul.
Den exakta motiveringen till orange vid PHP2Shell känner bara BSI till. Synliga skillnader är läget vad gäller bekräftade angrepp och det faktum att en uppdatering finns tillgänglig för alla grenar med support. En utförlig jämförelse ger inlägget PHP2Shell och Log4Shell. Orange är därmed ingen avblåsning. Rekommendationen att vid behov ta servrar offline är ett tydligt besked från en myndighet.
Varningsnivån kan ändras, i båda riktningarna. Avgörande är det aktuella läget på BSI:s webbplats, inte en tidningsartikel från dagen innan.
Vad orange inte betyder
Tre missförstånd möter vi just nu ofta:
- ”Orange betyder att vi är hackade.” Nej. Nivån beskriver hotläget, inte ett fynd i era system.
- ”Orange gäller bara myndigheter.” Nej. Varningarna riktar sig till alla som driver berörda system, även små företag.
- ”Om vi har Cloudflare eller en WAF berör orange oss inte.” Nej. Skyddsregler sänker risken men ersätter inte PHP-uppdateringen.
Om varningen leder till rättsliga skyldigheter, till exempel inom ramen för NIS2, beror på er bransch och storlek. Det är ingen juridisk rådgivning; klargör detaljerna med er juridiska rådgivare eller ert dataskyddsombud.
Omsätta klassningen i beslut
En varningsnivå är bara värd lika mycket som de beslut som följer av den. För PHP2Shell rekommenderar vi företag den här ordningen:
- Klargör berördhet: Vilka servrar och webbplatser körs med PHP, och vem driver dem?
- Styrk patchnivån: åtgärdad version 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, eller en backport som leverantören bekräftat.
- Säkerställ omstart: Alla PHP-processer måste vara omstartade.
- Om det inte går direkt: sätt tillfälliga åtgärder eller ta servern tillfälligt offline, som BSI rekommenderar. Alternativen beskriver Omedelbara åtgärder utan patch.
- Kontrollera spår och säkra loggar: från och med den 20 oktober.
- Dokumentera besluten: vem som beslutade vad, när och på vilken grund.
Just den sista punkten underskattas. Den som vid en officiell varning på nivå orange har agerat spårbart står sig bättre gentemot försäkringsbolag, kunder och tillsynsorgan. Bakgrund ger sidan om ledningens ansvar.
Hur hjälper PHP SOS konkret?
- Läget för ert företag: Vi omsätter BSI:s klassning till en lista över era berörda system med prioritet.
- Genomförande av rekommendationen: Vi patchar, startar om eller sätter tillfälliga åtgärder tills uppdateringen är möjlig.
- Bevis: Ni får en dokumentation av vad som har gjorts på vilken server och när.
- Bevakning: Ändrar BSI klassningen eller kommer nya rapporter bedömer vi dem för era system.
Mer om det under PHP2Shell-akuthjälp.
Slutsats
Varningsnivå orange är BSI:s näst högsta nivå och väl motiverad för PHP2Shell. Den kräver ingen panik, men ett beslut samma dag: patcha, starta om, kontrollera eller tillfälligt stänga av. Den som dokumenterar det har läst varningen rätt.
Vanliga frågor
Hur många varningsnivåer har BSI?
BSI:s cybersäkerhetsvarningar använder fyra nivåer: 1 / grå, 2 / gul, 3 / orange och 4 / röd. Orange är den näst högsta nivån och beskriver ett verksamhetskritiskt IT-hotläge med kraftig påverkan på normal drift.
Är varningsnivå orange en skyldighet att agera?
Varningen i sig är en fackmässig bedömning med handlingsrekommendationer. Vilka skyldigheter som följer av den för ert företag, till exempel enligt NIS2, avtal eller försäkringsvillkor, beror på det enskilda fallet. Klargör det med er juridiska rådgivare; detta är ingen juridisk rådgivning.
Varför är PHP2Shell inte nivå röd?
Skälen till en klassning bestämmer BSI själv. Anmärkningsvärd är en skillnad mot Log4Shell, som 2021 fick röd: där var enligt rapporter från den tiden redan komprometteringar kända. Vid PHP2Shell var bekräftade lyckade angrepp i bred skala enligt BSI inledningsvis inte kända.
Kan varningsnivån ändras?
Ja. BSI anpassar klassningar efter läget, uppåt som nedåt. Log4Shell sänktes till exempel enligt Bundestag i januari 2022 från röd till gul. Kontrollera aktuellt läge direkt hos BSI.