Picus Security: PHP2Shell-haavoittuvuus paljastaa automatisoidun penetraatiotestauksen rajat
Kriittisten PHP-haavoittuvuuksien julkistus osoitti, etteivät automatisoidut penetraatiotestaustyökalut pysty aina tunnistamaan hyökkäysalttiutta, kun toimivia hyökkäysskriptejä ei vielä ole saatavilla.
Lokakuussa 2026 julkaistut kriittiset PHP-haavoittuvuudet (CVE-2026-109618 ja CVE-2026-109619) korostivat eroja tietoturvan validointimenetelmissä. Vaikka PHP-haavoittuvuudet vaikuttivat laajasti infrastruktuuriin, automatisoidut penetraatiotestaustyökalut eivät kyenneet tarjoamaan välitöntä vastausta siihen, pystyisivätkö organisaatioiden suojaukset estämään mahdollisen hyökkäyksen.
Picus Securityn analyysin mukaan automatisoitu penetraatiotestaus törmäsi PHP2Shell-tilanteessa teknisiin rajoitteisiin. Työkalut perustuvat usein versioiden tarkistamiseen, mikä vastaa kysymykseen haavoittuvasta ohjelmistoversiosta, mutta ei kerro, pystyykö hyökkääjä todellisuudessa ohittamaan yrityksen käytössä olevat turvamekanismit. Lisäksi turvallisuussyistä monet automaattiset työkalut välttävät todellisten hyökkäysten suorittamista tuotantoympäristöissä, koska epäonnistunut yritys voi kaataa järjestelmät.
Toisin kuin penetraatiotestaus, Breach and Attack Simulation (BAS) -menetelmät mahdollistivat Picus Securityn mukaan puolustuskyvyn testaamisen välittömästi ilman todellista hyökkäyskoodia. Simuloimalla haitallista liikennettä organisaatiot saivat tiedon siitä, mitkä turvakontrollit estivät ja mitkä päästivät hyökkäysyritykset läpi.
Tilanne osoittaa, että hyökkäysten simulointi tarjoaa täydentävää tietoa silloin, kun haavoittuvuuksien hyödyntämiseen tarvittavat keinot ovat vielä tuntemattomia tai liian vaarallisia testattavaksi.