Într-un episod recent al podcast-ului Equity de la TechCrunch, Rebecca Bellan a discutat cu Tomer Schwartz, CTO al Exposure Management & AppSec la Wiz – compania achiziționată recent de Google pentru o sumă record de 32 de miliarde de dolari. Schwartz a fost în prima linie a cursei împotriva cronometru alături de OpenAI, grupul de cercetare Calif și echipa PHP pentru a remedia vulnerabilitățile. Ce a urmat a fost o conversație esențială despre cum arată cursa de la interior, cum pot startup-urile în fază incipientă să construiască cu securitatea în minte, și de ce patch-uirea manuală nu mai este o strategie viabilă pe termen lung.
Anatomia unei crize: PHP2Shell și impactul real
Vulnerabilitățile în discuție – denumite colectiv PHP2Shell – nu sunt simple bug-uri de rutină. Ele permit atacatorilor să execute cod arbitrar pe serverele care rulează versiuni afectate de PHP, transformând practic orice site web vulnerabil într-un punct de intrare potențial pentru actori malițioși. Faptul că PHP alimentează trei quarti din web-ul global face ca suprafața de atac să fie enormă.
"Nu vorbim de o vulnerabilitate de nicăieri", explică Schwartz în discuție. "Vorbim de limbajul care rulează WordPress, Facebook, Wikipedia, și o mulțime de aplicații enterprise critice. Când un astfel de fundament tremură, efectele în cascadă sunt imprevizibile."
Organizațiile au reagat diferit: unele au aplicat patch-urile în ore, altele au necesitat zile, iar o minoritate semnificativă a ales să ia serviciile offline complet – o decizie drastică care reflectă atât gravitatea amenințării, cât și lipsa pregătirii. Aceasta nu este o problemă tehnică pură; este o problemă de reziliență organizațională.
Factorul IA: accelerarea descoperirii vulnerabilităților
Cel mai îngrijorător aspect, conform lui Schwartz, nu este vulnerabilitatea actuală, ci trendul pe care o anunță. Inteligența artificială, în special modelele mari de limbaj (LLM-urile), începe să fie utilizată sistematic pentru auditarea codului open source la scară masivă.
"Tradițional, găsirea unui bug complex în PHP necesită expertise profundă, timp și intuție umană", spune Schwartz. "Acum, un model antrenat pe miliarde de linii de cod poate identifica pattern-uri subtile de vulnerabilități în fracțiuni de secundă. Nu înlocuiește expertul uman – îl amplifică, pentru bine sau pentru rău."
Aceasta înseamnă că fereastra dintre descoperirea unei vulnerabilități și exploatarea sa se micșorează dramatic. Dacă anterior avem luni sau ani până la armarea unui exploit, acum vorbim de zile sau ore. "Vulnpocalipsa" nu este o metaforă – este o proiecție realistă a unui viitor în care vulnerabilitățile critice vor fi descoperite în valuri, simultan, în multiple tehnologii fundamentale.
Din interiorul cursei: colaborare la scară globală
Povestea remediării PHP2Shell este, paradoxal, o poveste de succes a colaborării open source. Schwartz descrie o coordonație fără precedent între Wiz, OpenAI (care rulează infrastructură critică pe PHP), grupul de cercetare Calif, și menținătorii nucleu ai PHP.
"A fost o cursă împotriva cronometru în care competiția a dispărut", reaminteste Schwartz. "Nu a fost Wiz împotriva OpenAI. A fost toți noi împotriva vulnerabilității. Am partajat informații tehnice sensibile, proof-of-concept-uri, strategii de mitigere – totul în timp real, pe canale private, înainte de divulgarea publică."
Acest model de "disclosure responsabil coordinat la scară largă" ar trebui să devină norma, nu excepția. Dar Schwartz avertizează: "Funcționează pentru că PHP are o echipă de securitate dedicată și o comunitate matură. Ce facem când următoarea vulnerabilitate critică este într-o bibliotecă menținută de o singură persoană în timp liber?"
Startup-urile și paradigma "security by design"
Pentru fondatorii de startup-uri în fază incipientă, mesajul este clar: securitatea nu este un feature pe care îl adaugi la Series A. Este o arhitectură fundamentală.
"Văd prea multe startup-uri care construiesc rapid, ignorând securitatea, gândindu-se că o vor 'repara mai târziu'"", spune Schwartz. "Dar 'mai târziu' nu vine niciodată, sau vine sub formă de incident major care distruge încrederea clienților și valoarea companiei."
El recomandă trei principii practice:
1. Dependency hygiene rigorosă: Cunoașteți fiecare dependență transitive, monitorizați CVE-urile în timp real, automatizați actualizările.
2. Runtime protection: Nu vă bazați doar pe scanning static. Implementați protecție la runtime (WAF-uri, RASP, eBPF-based monitoring) care poate detecta și bloca exploatarea chiar dacă vulnerabilitatea există.
3. Incident response pregătit: Aveți planul, aveți echipa, testați-l regulat. Când (nu dacă) vulnerabilitatea critică following va lovi, trebuie să puteți patch-uia sau mitiga în ore, nu zile.
De ce patch-uirea manuală nu mai scalează
Un punct central al discuției este inutilitatea abordării manuale în fața volumului și vitezei actuale. "Nu puteți să vă logați pe 500 de servere și să aplicați patch-uri manual de fiecare dată când apare un CVE critic", afirmă Schwartz. "Automatizarea nu este opțională – este condiție de supraviețuire."
Wiz, ca platformă de securitate cloud-native, demonstră acest principiu în practică: capacitatea de a scana întregi infrastructuri cloud în minute, identifica instanțele vulnerabile, și orchestrat remedierea la scară. Dar Schwartz subliniază că tehnologia singură nu rezolvă problema – trebuie combinată cu procese, cultură și accountability.
Viitorul: pregătirea pentru valurile viitoare
Conversația se îndreaptă spre o concluzie soberană: PHP2Shell nu a fost un eveniment izolat. A fost un semnal de alarmă. Combinația dintre infrastructură critică envechită, dependențe complexe, și putere de calcul IA accesibilă atacatorilor creează un mediu în care vulnerabilitățile de tip "zero-day" vor deveni norma, nu excepția.
Organizațiile care vor supraviețui sunt cele care:
"Nu putem patch-uia calea noastre spre securitate", concludă Schwartz. "Trebuie să construim sisteme reziliente care să încapace să ia o lovitură și să continue să funcționeze. Asta este esența securității moderne."
Episodul complet al podcast-ului Equity cu Tomer Schwartz este disponibil pe YouTube, Apple Podcasts, Overcast, Spotify și alte platforme. Urmați Equity pe X și Threads la @EquityPod pentru mai multe conversații esențiale despre securitate, startup-uri și viitorul tehnologiei.
De ce este important:
Această conversație nu este doar despre un bug în PHP – este despre schimbarea fundamentală a paradigmei de securitate cibernetică. Achiziția Wiz de către Google pentru 32 de miliarde de dolari semnalizează că securitatea cloud-native devine strategică la nivelul celor mai mari jucători tech. PHP2Shell a demonstrat că infrastructura critică a internetului este fragilă, iar IA accelerează atât descoperirea, cât și exploatarea vulnerabilităților. Pentru organizații din România și global, mesajul este clar: investiția în automatizarea securității, vizibilitatea completă a activelor, și pregătirea pentru răspuns rapid la incidente nu mai este opțională – este diferența între continuitatea business-ului și un incident catastrofal. Startup-urile românești, în special cele care construiesc produse SaaS sau rulează pe cloud, trebuie să internalizeze principiul "security by design" de la ziua unu, nu ca afterthought.
