Október si podľa denníka medzi časťou bezpečnostnej komunity vyslúžil označenie „Black October“, teda čierny október. Pod tlakom sú služby incident response, skrátene IR: špecialisti, ktorí po narušení systémov hľadajú útočníka, pomáhajú obmedziť škody a obnoviť prevádzku. Správa opisuje rastúci nápor, nie verejne dostupnú štatistiku vyťaženosti všetkých zásahových firiem.
Konkrétnu skúsenosť zverejnil bezpečnostný riaditeľ Sophosu Ross McKerchar. Jeho interný bezpečnostný tím riešil sedem incidentov za sedem dní, pričom podobný objem práce by podľa neho pred rokom pripadal na celý štvrťrok. Zahŕňal problémy v dodávateľskom reťazci aj závažné softvérové zraniteľnosti vrátane PHP2Shell a chyby v GitLabe. Nešlo však o sedem potvrdených napadnutí zákazníkov. McKerchar uviedol, že firma sa vyhla závažným následkom, a upozornil, že opisuje skúsenosť jednej organizácie.
Oddelene napísal, že zásahová služba Sophosu ešte nikdy nebola taká vyťažená. Citoval aj bývalého riaditeľa kybernetickej bezpečnosti americkej NSA Roba Joycea, podľa ktorého sú firmy poskytujúce zásahové služby preťažené a odmietajú ďalšiu prácu. Ide o varovania ľudí z praxe; nemožno z nich určiť univerzálnu čakaciu lehotu na pomoc.
Jednou z výrazných októbrových udalostí bolo zverejnenie dvojice kritických chýb PHP označovaných ako PHP2Shell. PHP je technológia používaná na serveroch na vytváranie webových stránok a fungovanie aplikácií. Podľa PHP Foundation môžu chyby za určitých podmienok umožniť spustenie kódu útočníka bez prihlásenia. Projekt 21. októbra vydal opravené verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Rozšírenosť PHP však nie je počtom napadnutých webov: používanie technológie, prítomnosť zraniteľnej verzie a úspešný útok sú odlišné skutočnosti.
Úlohu AI pri výskume potvrdzuje spoločnosť Wiz, ktorá opísala využitie pokročilých modelov pri hľadaní chýb a zostavovaní funkčných demonštrácií ich zneužitia. PHP Foundation zároveň uvádza, že AI pomáha preverovať hlásenia, no rozhodnutia a opravy zostávajú na ľuďoch. Dokázaná pomoc AI pri bezpečnostnom výskume preto nie je dôkazom, že následné útoky prebiehali úplne autonómne.
Dôležitý je aj rozdiel medzi pokusom a úspešným prienikom. Wiz v správe z 27. októbra uviedol, že vo vlastnej telemetrii zatiaľ nezaznamenal úspešné dokončenie celého útoku PHP2Shell. Súčasne upozornil na dôkazy iného výskumníka z návnadových serverov s konkrétnou konfiguráciou. Tieto výsledky nemožno preniesť na všetky nasadenia ani vykladať ako potvrdenie, že hrozba pominula.
Pre prevádzkovateľov webov a e-shopov je praktickým krokom preveriť s hostingom alebo správcom servera používanú verziu PHP a nasadenie opráv. Britské centrum NCSC odporúča prednostne riešiť systémy dostupné z internetu a pri nemožnosti aktualizácie postupovať podľa oficiálnych dočasných opatrení. Ak ochranu nemožno zabezpečiť včas, odporúča zvážiť odstavenie služby. Pri podozrení na prienik treba preveriť aj stopy napadnutia: samotná aktualizácia nepreukazuje, že systém je čistý.