# PHP2Shell a Log4Shell: co mají zranitelnosti společné

> PHP2Shell a Log4Shell ve srovnání: co zranitelnosti spojuje, v čem se liší a jaká poučení z roku 2021 mohou firmy využít dnes.

Zdroj: https://phpsos.de/cs/blog/php2shell-und-log4shell/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** PHP2Shell a Log4Shell mají společné to, že jsou kritickými zranitelnostmi ve velmi rozšířené základní součásti, přes které mohou útočníci bez přihlášení spouštět kód. Liší se viditelností, zařazením a situací u známých útoků. Nejdůležitější poučení z Log4Shell platí dnes beze změny: Kdo ví, kde dotčená součást běží, jedná v hodinách místo v týdnech.

## Proč se srovnání právě teď objevuje všude

V prosinci 2021 držela Log4Shell IT svět v napětí celé týdny. BSI tehdy vyhlásilo nejvyšší výstražný stupeň červený. Téměř o pět let později padá u PHP2Shell v mnoha příspěvcích stejné jméno, často s otázkou: „Bude to zase tak špatné?“

Srovnání je nasnadě a je užitečné, pokud se vede správně. Ukazuje, které vzorce se opakují a jaké zkušenosti mohou firmy využít přímo dnes. Jak BSI aktuální situaci zařazuje, vysvětluje článek [Výstražný stupeň BSI oranžový](https://phpsos.de/cs/blog/bsi-warnstufe-orange-erklaert/).

## PHP2Shell a Log4Shell v přímém srovnání

| Znak | Log4Shell (2021) | PHP2Shell (2026) |
|---|---|---|
| Postižený software | javová knihovna Log4j | samotné běhové prostředí PHP |
| Identifikátor | CVE-2021-44228 | CVE-2026-109618, CVE-2026-109619 |
| Hodnocení | CVSS 10.0 (v3) | CVSS v4.0 9.2 |
| Účinek | spuštění kódu bez přihlášení | spuštění kódu bez přihlášení |
| Výstražný stupeň BSI | 4 / červený | 3 / oranžový |
| Situace při varování | podle dobových zpráv známa napadení | uváděny pokusy o útok, podle BSI zpočátku žádné potvrzené úspěšné útoky v širokém měřítku |
| Viditelnost | často ukryta hluboko v aplikacích | viditelné na serveru, stav záplat je ale kvůli backportům těžko čitelný |
| Navazující oznámení | několik dalších CVE během pár týdnů | upozornění k CVE-2026-115560 dne 23. 10. |

## Co mají obě zranitelnosti společné

**Jedna základní součást, nesčetné aplikace.** Log4j byla součástí javového softwaru všeho druhu, PHP nese WordPress, Shopware, TYPO3 a nesčetná vlastní řešení. V obou případech není postižen jeden produkt, ale základ.

**Není třeba přihlášení.** Obě zranitelnosti umožňují spuštění kódu na dálku bez přihlášení. To je činí atraktivními pro automatizované útoky.

**Záplata není konec.** U Log4Shell se ukázalo, že mnoho systémů bylo napadeno již před aktualizací. I u PHP2Shell platí: Záplata neodstraní vložený škodlivý software. Podle mediálních zpráv byl první pokus o útok pozorován již 17. října.

**Navazující oznámení.** Po Log4Shell vyšla během několika týdnů další CVE k Log4j. U PHP přišlo dva dny po záplatách upozornění k CVE-2026-115560. Proč jsou další oznámení pravděpodobná, vysvětluje článek [Po PHP2Shell: proč jsou další oznámení pravděpodobná](https://phpsos.de/cs/blog/weitere-php-meldungen/).

## Kde srovnání pokulhává

Největší rozdíl je ve viditelnosti. Log4j byla často zabudována jako součást aplikace, někdy vícekrát vnořená. Mnoho provozovatelů prostě nevědělo, že ji používá. PHP naproti tomu na webovém serveru žádným tajemstvím není. Zato u PHP2Shell vzniká jiná nejasnost: Distribuce a poskytovatelé hostingu nasazují opravy jako backport, zobrazené číslo verze zůstává stejné. PHP vidíte, ale ne hned, zda je záplatováno.

Druhý rozdíl je výchozí situace při aktualizaci. U Log4Shell musely často výrobci odborných aplikací nejprve dodat nové verze. U PHP2Shell jsou aktualizace připraveny pro všechny podporované větve. Obtížné to je u PHP 8.1 a starších, pro které projekt PHP už oficiální aktualizace nezveřejňuje.

Třetí rozdíl se týká místa útoku. U Log4Shell mohlo být nebezpečné každé místo, kde aplikace protokolovala vstupy, tedy i interní systémy, které data z internetu dostávaly jen nepřímo. U PHP2Shell stojí ve středu webový server, který přijímá požadavky přímo. To činí hledání postižených systémů poněkud přehlednějším: Nejdřív přicházejí všechny veřejně dostupné služby PHP, poté interní aplikace.

Konečně se liší situace při zneužívání. Pro Log4Shell brzy kolovaly jednoduché útočné nástroje a napadení byla podle dobových zpráv známa už v době varování. U PHP2Shell informují Cloudflare a Patchstack o pokusech o útok, watchTowr podle vlastních údajů jednu ze zranitelností zreprodukoval, potvrzené úspěšné útoky v širokém měřítku BSI zpočátku nehlásilo. To se může změnit. Je to ale důvod, proč srovnání jako předpověď nestačí.

> **Tip:**
> Využijte zkušenosti z Log4Shell ve vlastním domě: Které seznamy, postupy a kontakty tehdy pomohly? Mnohé z toho lze pro PHP2Shell přímo znovu použít.

## Pět poučení z Log4Shell, která pomáhají dnes

1. **Inventář před záplatou:** Kdo měl v roce 2021 aktuální seznam svých systémů, byl rychlejší. Platí to dnes stejně. Návod nabízí článek [Inventář všech webů a serverů](https://phpsos.de/cs/blog/inventar-websites-server/).
2. **Znát závislosti:** Soupis softwarových součástí, zkráceně SBOM, odpoví na otázku „Kde to používáme?“ v minutách. U aplikací PHP pomůže pohled do Composeru, jak popisuje [Kontrola závislostí Composeru](https://phpsos.de/cs/ratgeber/composer-abhaengigkeiten-pruefen/).
3. **Uchovávat logy:** Po Log4Shell mnoho firem nedokázalo vyjasnit, zda byly dotčeny, protože chyběly logy. Odborný tisk radí u PHP2Shell zajistit logy od 20. října.
4. **Zpětně kontrolovat:** Záplata neodpovídá na to, co se stalo předtím. Kontrola stop k tomu patří.
5. **Být připraven na navazující oznámení:** První aktualizace je zřídka poslední. Kdo si cestu aktualizace jednou čistě zřídil, zopakuje ji rychle.

## Jak konkrétně pomáhá PHP SOS?

- **Soupis:** Zjišťujeme, kde ve vaší firmě PHP běží, v jaké verzi a provozním režimu.
- **Záplata a restart:** Nasazujeme aktualizace a dokládáme stav pro každý systém.
- **Kontrola stop:** Zajišťujeme logy a kontrolujeme nápadnosti od 17. října.
- **Trvalé sledování:** Máme vaše systémy na očích, aby navazující oznámení nezačínala znovu od nuly.

Jak vypadá průběžný dohled, popisuje [Security Monitoring pro webové servery](https://phpsos.de/cs/leistungen/security-monitoring/).

## Závěr

PHP2Shell není Log4Shell, ale rýmuje se s ním. Obě zasahují základ, obě potřebují víc než jednu záplatu. Firmy, které si z roku 2021 odnesly inventář, uchovávání logů a cesty aktualizací, jsou dnes ve výhodě. Pro všechny ostatní je teď čas to dohnat.


## Časté dotazy

**Je PHP2Shell tak vážné jako Log4Shell?**  
Obě jsou kritické zranitelnosti ve velmi rozšířeném softwaru, přes které mohou útočníci bez přihlášení spouštět kód. BSI (německý Spolkový úřad pro informační bezpečnost) zařadilo Log4Shell v roce 2021 červeně, PHP2Shell oranžově. Důležitý rozdíl: U Log4Shell byla podle dobových zpráv již při varování známa napadení, u PHP2Shell podle BSI zpočátku žádné potvrzené úspěšné útoky v širokém měřítku.

**Co bylo Log4Shell?**  
Log4Shell byla kritická zranitelnost v javové knihovně Log4j, která vešla ve známost v prosinci 2021 a vede se pod CVE-2021-44228. Log4j byla součástí velmi mnoha aplikací, často aniž by to provozovatelé věděli.

**Přijdou po PHP2Shell další zranitelnosti?**  
Je to možné. Po Log4Shell následovala během několika týdnů další CVE k Log4j. U PHP už 23. října vyšlo upozornění k CVE-2026-115560, které zabírá jen při neobvyklé konfiguraci. Počítejte s navazujícími oznámeními.

**Co je SBOM?**  
Software Bill of Materials je soupis všech softwarových součástí, z nichž se aplikace skládá. Díky němu lze při nové zranitelnosti rychle zjistit, kde se dotčená součást používá.

## Zdroje

- [BSI: německý Spolkový úřad pro informační bezpečnost](https://www.bsi.bund.de/)
- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)