Picus Security: PHP2Shell-sårbarheten belyser begränsningar i automatiserad penetrationstestning
Publiceringen av kritiska PHP-sårbarheter visade att automatiserade penetrationstestverktyg har svårt att bedöma skyddsnivån innan fungerande exploit-koder finns tillgängliga.
De kritiska PHP-sårbarheterna (CVE-2026-109618 och CVE-2026-109619) som offentliggjordes i oktober 2026 har aktualiserat diskussionen om effektiviteten hos olika valideringsmetoder för IT-säkerhet. Eftersom sårbarheterna rör kärnan i PHP-tolken har de en bred påverkan på allt från webbapplikationer till serverinfrastruktur.
Enligt Picus Security illustrerar händelsen de inneboende begränsningarna i automatiserad penetrationstestning. Många sådana verktyg förlitar sig på att skanna efter sårbara versioner snarare än att faktiskt simulera en attack mot befintliga försvarsmekanismer. Då inga färdiga attackskript fanns tillgängliga vid publiceringen och risken för driftstörningar i produktion är hög, begränsades den information som traditionella verktyg kunde ge till enkla versionskontroller.
Alternativa angreppssätt, såsom Breach and Attack Simulation (BAS), fokuserar istället på att testa huruvida befintliga säkerhetskontroller kan blockera hotet. Picus Security kunde genom sin metodik tillhandahålla testbara hotbilder inom några timmar efter att sårbarheten blivit känd, vilket gjorde det möjligt för säkerhetsteam att verifiera sin försvarsposition.
Slutsatsen från händelseförloppet är att medan penetrationstestning är effektivt för att bekräfta existerande sårbarheter, krävs simuleringsteknik för att utvärdera motståndskraft mot nya, ännu ej utnyttjade sårbarheter.