Īsi sakot: PHP2Shell un Log4Shell vieno tas, ka tās ir kritiskas ievainojamības ļoti plaši izplatītā pamatelementā, caur kurām uzbrucēji bez pieteikšanās var izpildīt kodu. Tās atšķiras pēc redzamības, vērtējuma un situācijas ar zināmiem uzbrukumiem. Svarīgākā mācība no Log4Shell šodien ir spēkā bez izmaiņām: kas zina, kur skartais elements darbojas, rīkojas stundu, nevis nedēļu laikā.
Kāpēc salīdzinājums tieši tagad parādās visur
- gada decembrī Log4Shell nedēļām turēja IT pasauli spriedzē. BSI toreiz izsludināja augstāko brīdinājuma līmeni, sarkano. Gandrīz piecus gadus vēlāk PHP2Shell gadījumā daudzos rakstos tiek minēts tas pats nosaukums, bieži kopā ar jautājumu: “Vai atkal būs tik slikti?”
Salīdzinājums ir pašsaprotams, un tas ir noderīgs, ja to veic pareizi. Tas parāda, kuri paraugi atkārtojas un kādu pieredzi uzņēmumi šodien var izmantot tieši. Kā BSI pašreizējo situāciju vērtē, izskaidro raksts BSI oranžais brīdinājuma līmenis.
PHP2Shell un Log4Shell tiešā salīdzinājumā
| Pazīme | Log4Shell (2021) | PHP2Shell (2026) |
|---|---|---|
| Skartā programmatūra | Java bibliotēka Log4j | pati PHP izpildes vide |
| Identifikators | CVE-2021-44228 | CVE-2026-109618, CVE-2026-109619 |
| Novērtējums | CVSS 10.0 (v3) | CVSS v4.0 9.2 |
| Iedarbība | koda izpilde bez pieteikšanās | koda izpilde bez pieteikšanās |
| BSI brīdinājuma līmenis | 4 / sarkans | 3 / oranžs |
| Situācija brīdinājuma brīdī | saskaņā ar toreizējiem ziņojumiem kompromitēšanas gadījumi zināmi | ziņots par uzbrukuma mēģinājumiem, saskaņā ar BSI sākotnēji nebija apstiprinātu veiksmīgu uzbrukumu plašā mērogā |
| Redzamība | bieži dziļi lietojumprogrammās noslēpta | serverī redzama, bet ielāpa stāvokli backport labojumu dēļ grūti nolasīt |
| Sekojoši ziņojumi | vairākas citas CVE dažu nedēļu laikā | norāde par CVE-2026-115560 23.10. |
Kas abām ievainojamībām ir kopīgs
Viens pamatelements, neskaitāmas lietojumprogrammas. Log4j atradās visāda veida Java programmatūrā, PHP nes WordPress, Shopware, TYPO3 un neskaitāmus paštaisītus risinājumus. Abos gadījumos skarts nav viens produkts, bet pamats.
Pieteikšanās nav vajadzīga. Abas ievainojamības ļauj izpildīt kodu no attāluma bez pieteikšanās. Tas padara tās pievilcīgas automatizētiem uzbrukumiem.
Ielāps nav beigas. Log4Shell gadījumā izrādījās, ka daudzas sistēmas pirms atjauninājuma jau bija tikušas uzbrauktas. Arī PHP2Shell gadījumā ir tā: ielāps nenoņem ievadīto ļaunprātīgo programmatūru. Saskaņā ar mediju ziņojumiem pirmais uzbrukuma mēģinājums tika novērots jau 17. oktobrī.
Sekojoši ziņojumi. Pēc Log4Shell dažu nedēļu laikā parādījās vēl CVE par Log4j. PHP gadījumā divas dienas pēc ielāpiem sekoja norāde par CVE-2026-115560. Kāpēc papildu ziņojumi ir ticami, izskaidro raksts Pēc PHP2Shell: kāpēc papildu ziņojumi ir ticami.
Kur salīdzinājums klibo
Lielākā atšķirība ir redzamībā. Log4j bieži bija iebūvēts kā lietojumprogrammas daļa, dažkārt vairākkārt iegūlis. Daudzi operatori vienkārši nezināja, ka to izmanto. PHP turpretī tīmekļa serverī nav noslēpums. Tomēr PHP2Shell gadījumā rodas cita neskaidrība: distributīvi un hostinga sniedzēji labojumus ievieš kā backport, rādītais versijas numurs paliek tāds pats. PHP ir redzams, bet ne uzreiz redzams, vai tas ir ielāpots.
Otra atšķirība ir izejas situācija atjauninājumam. Log4Shell gadījumā specializēto lietojumprogrammu ražotājiem bieži vispirms bija jāpiegādā jaunas versijas. PHP2Shell gadījumā atjauninājumi ir gatavi visiem atbalstītajiem atzariem. Grūti kļūst ar PHP 8.1 un vecākām versijām, kurām PHP projekts oficiālus atjauninājumus vairs nepublicē.
Trešā atšķirība skar uzbrukuma vietu. Log4Shell gadījumā bīstama varēja būt jebkura vieta, kur lietojumprogramma žurnalēja ievaddatus, tātad arī iekšējās sistēmas, kas datus no interneta saņēma tikai netieši. PHP2Shell gadījumā uzmanības centrā ir tīmekļa serveris, kas pieprasījumus pieņem tieši. Tas skarto sistēmu meklēšanu padara nedaudz pārskatāmāku: vispirms visi publiski sasniedzamie PHP pakalpojumi, pēc tam iekšējās lietojumprogrammas.
Visbeidzot atšķiras situācija ar izmantošanu. Log4Shell gadījumā agri cirkulēja vienkārši uzbrukuma rīki, un kompromitēšanas gadījumi saskaņā ar toreizējiem ziņojumiem bija zināmi jau brīdinājuma brīdī. PHP2Shell gadījumā Cloudflare un Patchstack ziņo par uzbrukuma mēģinājumiem, watchTowr pēc paša teiktā ir atveidojis vienu no ievainojamībām, apstiprinātus veiksmīgus uzbrukumus plašā mērogā BSI sākotnēji nepaziņoja. Tas var mainīties. Taču tas ir iemesls, kāpēc salīdzinājums nav derīgs kā prognoze.
Izmantojiet Log4Shell pieredzi savā uzņēmumā: kuri saraksti, procesi un kontakti toreiz palīdzēja? Liela daļa no tā ir tieši izmantojama atkārtoti PHP2Shell gadījumā.
Piecas mācības no Log4Shell, kas palīdz šodien
- Inventārs pirms ielāpa: Kam 2021. gadā bija aktuāls sistēmu saraksts, tas bija ātrāks. Tas ir spēkā arī šodien. Ceļvedi piedāvā raksts Visu vietņu un serveru inventārs.
- Zināt atkarības: Programmatūras būvelementu saraksts, īsi SBOM, uz jautājumu “Kur mēs to izmantojam?” atbild minūtēs. PHP lietojumprogrammām palīdz skatiens Composer, kā to apraksta Composer atkarību pārbaude.
- Saglabāt žurnālus: Pēc Log4Shell daudzi uzņēmumi vairs nevarēja noskaidrot, vai bijuši skarti, jo žurnāli trūka. Speciālā prese PHP2Shell gadījumā iesaka žurnālus saglabāt no 20. oktobra.
- Pārbaudīt pēcāk: Ielāps neatbild uz jautājumu, kas notika iepriekš. Pēdu pārbaude ir daļa no tā.
- Būt sagatavotam sekojošiem ziņojumiem: Pirmais atjauninājums reti ir pēdējais. Kas atjaunināšanas ceļu reiz ir sakārtoti ierīkojis, to atkārto ātri.
Kā PHP SOS palīdz konkrēti?
- Stāvokļa uzskaite: Mēs noskaidrojam, kur jūsu uzņēmumā darbojas PHP, kādā versijā un darbības režīmā.
- Ielāps un pārstartēšana: Mēs ieviešam atjauninājumus un apliecinām stāvokli katrai sistēmai.
- Pēdu pārbaude: Mēs saglabājam žurnālus un pārbaudām novirzes kopš 17. oktobra.
- Pastāvīga novērošana: Mēs turam jūsu sistēmas redzeslokā, lai sekojoši ziņojumi nesāktos atkal no nulles.
Kā izskatās pastāvīgā uzraudzība, apraksta Drošības monitorings tīmekļa serveriem.
Secinājums
PHP2Shell nav Log4Shell, taču tās rīmējas. Abas trāpa pamatam, abām vajag vairāk nekā ielāpu. Uzņēmumi, kas no 2021. gada ir paņēmuši līdzi inventāru, žurnālu saglabāšanu un atjaunināšanas ceļus, šodien ir priekšrocībā. Visiem pārējiem tagad ir laiks to panākt.
Biežāk uzdotie jautājumi
Vai PHP2Shell ir tikpat slikta kā Log4Shell?
Abas ir kritiskas ievainojamības ļoti plaši izplatītā programmatūrā, caur kurām uzbrucēji bez pieteikšanās var izpildīt kodu. BSI (Vācijas Federālais informācijas drošības birojs) Log4Shell 2021. gadā novērtēja ar sarkano, PHP2Shell ar oranžo līmeni. Būtiska atšķirība: Log4Shell gadījumā saskaņā ar toreizējiem ziņojumiem brīdinājuma brīdī jau bija zināmi kompromitēšanas gadījumi, PHP2Shell gadījumā saskaņā ar BSI sākotnēji nebija apstiprinātu veiksmīgu uzbrukumu plašā mērogā.
Kas bija Log4Shell?
Log4Shell bija kritiska ievainojamība Java bibliotēkā Log4j, kas kļuva zināma 2021. gada decembrī un tiek reģistrēta ar CVE-2021-44228. Log4j kā būvelements atradās ļoti daudzās lietojumprogrammās, bieži vien operatoriem to nezinot.
Vai pēc PHP2Shell nāks vēl ievainojamības?
Tas ir iespējams. Pēc Log4Shell dažu nedēļu laikā sekoja vēl CVE par Log4j. PHP gadījumā 23. oktobrī jau bija norāde par CVE-2026-115560, kas iedarbojas tikai neparastas konfigurācijas gadījumā. Rēķinieties ar sekojošiem ziņojumiem.
Kas ir SBOM?
Software Bill of Materials ir saraksts ar visiem programmatūras būvelementiem, no kuriem lietojumprogramma sastāv. Ar to jaunas ievainojamības gadījumā var ātri noteikt, kur skartais būvelements tiek izmantots.