Na kratko: PHP2Shell in Log4Shell imata skupno, da sta kritični ranljivosti v zelo razširjenem temeljnem gradniku, prek katerih lahko napadalci brez prijave izvajajo kodo. Razlikujeta se v vidnosti, uvrstitvi in stanju pri znanih napadih. Najpomembnejši nauk iz Log4Shell velja danes nespremenjen: kdor ve, kje prizadeti gradnik teče, ukrepa v urah namesto v tednih.
Zakaj se primerjava zdaj pojavlja povsod
Decembra 2021 je Log4Shell več tednov držal IT-svet v napetosti. BSI (nemški zvezni urad za informacijsko varnost) je takrat razglasil najvišjo opozorilno stopnjo rdečo. Skoraj pet let pozneje se pri PHP2Shell v mnogih prispevkih pojavlja isto ime, pogosto z vprašanjem: „Bo spet tako hudo?“
Primerjava je očitna in je koristna, če jo vodimo pravilno. Kaže, kateri vzorci se ponavljajo in katere izkušnje lahko podjetja danes neposredno uporabijo. Kako BSI uvršča aktualni položaj, pojasnjuje prispevek Opozorilna stopnja BSI oranžna.
PHP2Shell in Log4Shell v neposredni primerjavi
| Lastnost | Log4Shell (2021) | PHP2Shell (2026) |
|---|---|---|
| Prizadeta programska oprema | knjižnica Java Log4j | samo izvajalno okolje PHP |
| Oznaka | CVE-2021-44228 | CVE-2026-109618, CVE-2026-109619 |
| Ocena | CVSS 10.0 (v3) | CVSS v4.0 9,2 |
| Učinek | izvajanje kode brez prijave | izvajanje kode brez prijave |
| Opozorilna stopnja BSI | 4 / rdeča | 3 / oranžna |
| Stanje ob opozorilu | po takratnih poročilih kompromitacije znane | poročani poskusi napadov, po BSI sprva ni potrjenih uspešnih napadov v širšem obsegu |
| Vidnost | pogosto globoko skrit v aplikacijah | viden na strežniku, stanje popravkov pa zaradi backportov težko razbrati |
| Nadaljnja obvestila | več nadaljnjih CVE v nekaj tednih | obvestilo o CVE-2026-115560 23. 10. |
Kaj imata ranljivosti skupnega
En temeljni gradnik, nešteto aplikacij. Log4j je bil v programski opremi Java vseh vrst, PHP nosi WordPress, Shopware, TYPO3 in nešteto lastnih razvojev. V obeh primerih ni prizadet izdelek, ampak temelj.
Prijava ni potrebna. Obe ranljivosti omogočata izvajanje kode od daleč brez prijave. Zaradi tega sta privlačni za samodejne napade.
Popravek ni konec. Pri Log4Shell se je pokazalo, da so bili številni sistemi pred posodobitvijo že napadeni. Tudi pri PHP2Shell velja: popravek ne odstrani vnesene škodljive programske opreme. Po medijskih poročilih je bil prvi poskus napada opažen že 17. oktobra.
Nadaljnja obvestila. Po Log4Shell je v nekaj tednih izšlo še več CVE za Log4j. Pri PHP je dva dni po popravkih prišlo obvestilo o CVE-2026-115560. Zakaj so nadaljnja obvestila verjetna, pojasnjuje Po PHP2Shell: zakaj so nadaljnja obvestila verjetna.
Kje primerjava šepa
Največja razlika je v vidnosti. Log4j je bil pogosto vgrajen kot del aplikacije, včasih večkrat ugnezden. Mnogi upravljavci preprosto niso vedeli, da ga uporabljajo. PHP pa na spletnem strežniku ni skrivnost. Zato pa pri PHP2Shell nastane drugačna nejasnost: distribucije in ponudniki gostovanja popravke nameščajo kot backport, prikazana številka različice ostane enaka. PHP je viden, ne vidi pa se takoj, ali je popravljen.
Druga razlika je izhodiščni položaj pri posodobitvi. Pri Log4Shell so morali proizvajalci strokovnih aplikacij pogosto najprej dobaviti nove različice. Pri PHP2Shell so posodobitve na voljo za vse podprte veje. Težko postane pri PHP 8.1 in starejšem, za katera projekt PHP ne objavlja več uradnih posodobitev.
Tretja razlika zadeva mesto napada. Pri Log4Shell je bilo lahko nevarno vsako mesto, kjer je aplikacija beležila vnose, torej tudi notranji sistemi, ki so podatke z interneta prejemali le posredno. Pri PHP2Shell je v središču spletni strežnik, ki zahteve sprejema neposredno. Zato je iskanje prizadetih sistemov nekoliko preglednejše: najprej pridejo vse javno dostopne storitve PHP, nato notranje aplikacije.
Nazadnje se razlikuje stanje pri izkoriščanju. Za Log4Shell so zgodaj krožila preprosta orodja za napad, kompromitacije pa so bile po takratnih poročilih znane že ob opozorilu. Pri PHP2Shell Cloudflare in Patchstack poročata o poskusih napadov, watchTowr je eno od ranljivosti po lastnih navedbah poustvaril, potrjenih uspešnih napadov v širšem obsegu BSI sprva ni javil. To se lahko spremeni. Je pa razlog, zakaj primerjava ni uporabna kot napoved.
Izkušnje iz Log4Shell uporabite v lastni hiši: Kateri seznami, poteki in stiki so takrat pomagali? Marsikaj od tega je mogoče neposredno ponovno uporabiti za PHP2Shell.
Pet naukov iz Log4Shell, ki danes pomagajo
- Popis pred popravkom: Kdor je imel leta 2021 aktualen seznam svojih sistemov, je bil hitrejši. Danes velja enako. Navodilo ponuja prispevek Popis vseh spletnih strani in strežnikov.
- Poznati odvisnosti: Kosovnica programskih gradnikov, na kratko SBOM, na vprašanje „Kje to uporabljamo?“ odgovori v minutah. Za aplikacije PHP pomaga pogled v Composer, kot ga opisuje Preverjanje odvisnosti Composer.
- Hraniti loge: Po Log4Shell mnoga podjetja niso mogla več razjasniti, ali so bila prizadeta, ker so logi manjkali. Strokovni tisk pri PHP2Shell svetuje varnostno shraniti loge od 20. oktobra.
- Naknadno preveriti: Popravek ne odgovori na to, kaj se je zgodilo prej. Pregled sledi sodi zraven.
- Biti pripravljen na nadaljnja obvestila: Prva posodobitev redko ostane zadnja. Kdor je pot posodobitve enkrat čisto vzpostavil, jo hitro ponovi.
Kako konkretno pomaga PHP SOS?
- Popis stanja: Ugotovimo, kje v vašem podjetju PHP teče, v kateri različici in načinu delovanja.
- Popravek in ponovni zagon: Namestimo posodobitve in stanje dokažemo za vsak sistem.
- Pregled sledi: Varnostno shranimo loge in preverimo nepravilnosti od 17. oktobra.
- Trajno opazovanje: Vaše sisteme imamo na očeh, da nadaljnja obvestila ne začnejo spet pri ničli.
Kako izgleda stalni nadzor, opisuje Varnostni monitoring za spletne strežnike.
Sklep
PHP2Shell ni Log4Shell, a se rima. Obe zadeneta temelj, obe potrebujeta več kot en popravek. Podjetja, ki so iz leta 2021 odnesla popis, hrambo logov in poti posodobitev, so danes v prednosti. Za vse druge je zdaj čas, da to nadoknadijo.
Pogosta vprašanja
Ali je PHP2Shell tako hud kot Log4Shell?
Obe sta kritični ranljivosti v zelo razširjeni programski opremi, prek katerih lahko napadalci brez prijave izvajajo kodo. BSI je Log4Shell leta 2021 uvrstil na rdečo, PHP2Shell na oranžno. Pomembna razlika: pri Log4Shell so bile po takratnih poročilih ob opozorilu kompromitacije že znane, pri PHP2Shell po BSI sprva ni bilo potrjenih uspešnih napadov v širšem obsegu.
Kaj je bil Log4Shell?
Log4Shell je bila kritična ranljivost v knjižnici Java Log4j, ki je postala znana decembra 2021 in se vodi pod CVE-2021-44228. Log4j je bil kot gradnik vgrajen v zelo veliko aplikacij, pogosto brez vednosti upravljavcev.
Ali bodo po PHP2Shell sledile nadaljnje ranljivosti?
To je mogoče. Po Log4Shell je v nekaj tednih sledilo še več CVE za Log4j. Pri PHP je bilo 23. oktobra že obvestilo o CVE-2026-115560, ki deluje samo pri nenavadni konfiguraciji. Računajte z nadaljnjimi obvestili.
Kaj je SBOM?
Software Bill of Materials je kosovnica vseh programskih gradnikov, iz katerih je sestavljena aplikacija. Z njo je ob novi ranljivosti mogoče hitro ugotoviti, kje se prizadeti gradnik uporablja.