# PHP2Shell ja Log4Shell: mis on turvaaukudel ühist

> PHP2Shell ja Log4Shell võrdluses: mis turvauke ühendab, kus need erinevad ja milliseid 2021. aasta õppetunde ettevõtted täna kasutada saavad.

Allikas: https://phpsos.de/et/blog/php2shell-und-log4shell/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** PHP2Shellil ja Log4Shellil on ühist see, et mõlemad on kriitilised turvaaugud väga levinud põhikomponendis, mille kaudu ründajad saavad ilma sisselogimiseta koodi käivitada. Erinevad nad nähtavuse, hinnangu ja teadaolevate rünnakute olukorra poolest. Log4Shellist tulenev tähtsaim õppetund kehtib täna muutumatult: kes teab, kus mõjutatud komponent töötab, tegutseb tundidega, mitte nädalatega.

## Miks võrdlus just praegu kõikjal ilmub

2021. aasta detsembris hoidis Log4Shell IT-maailma nädalaid pinge all. BSI (Saksamaa föderaalne infoturbeamet) kuulutas toona välja kõrgeima hoiatustaseme punane. Peaaegu viis aastat hiljem kõlab PHP2Shelli puhul paljudes artiklites sama nimi, sageli koos küsimusega: „Kas see läheb jälle nii hulluks?“

Võrdlus on ilmne ja see on kasulik, kui seda õigesti teha. See näitab, millised mustrid kordusid ja milliseid kogemusi saavad ettevõtted täna otse kasutada. Kuidas BSI praegust olukorda hindab, selgitab artikkel [BSI hoiatustase oranž](https://phpsos.de/et/blog/bsi-warnstufe-orange-erklaert/).

## PHP2Shell ja Log4Shell otsevõrdluses

| Tunnus | Log4Shell (2021) | PHP2Shell (2026) |
|---|---|---|
| Mõjutatud tarkvara | Java teek Log4j | PHP käitusaeg ise |
| Tunnus | CVE-2021-44228 | CVE-2026-109618, CVE-2026-109619 |
| Hinnang | CVSS 10,0 (v3) | CVSS v4.0 9,2 |
| Mõju | koodi käivitamine ilma sisselogimiseta | koodi käivitamine ilma sisselogimiseta |
| BSI hoiatustase | 4 / punane | 3 / oranž |
| Olukord hoiatuse ajal | toonaste aruannete kohaselt kompromiteerimised teada | rünnakukatsetest teatatud, BSI andmetel alguses kinnitatud edukaid laiaulatuslikke rünnakuid ei olnud |
| Nähtavus | sageli sügavale rakendustesse peidetud | serveris nähtav, kuid paigatud seisu on backportide tõttu raske kindlaks teha |
| Järgmised teated | mitu täiendavat CVE-d mõne nädala jooksul | märkus CVE-2026-115560 kohta 23.10. |

## Mis on kahel turvaaugul ühist

**Üks põhikomponent, lugematud rakendused.** Log4j oli igasuguses Java tarkvaras, PHP kannab WordPressi, Shopware'i, TYPO3 ja lugematuid omaarendusi. Mõlemal juhul ei ole mõjutatud mitte üks toode, vaid alus.

**Sisselogimist pole vaja.** Mõlemad turvaaugud võimaldavad koodi kaugkäivitamist ilma sisselogimiseta. See teeb need automatiseeritud rünnakute jaoks ligitõmbavaks.

**Paik ei ole lõpp.** Log4Shelli puhul selgus, et paljusid süsteeme oli enne uuendust juba rünnatud. Ka PHP2Shelli puhul kehtib: paik ei eemalda sisse toodud pahavara. Meediaaruannete kohaselt täheldati esimest rünnakukatset juba 17. oktoobril.

**Järgnevad teated.** Pärast Log4Shelli ilmusid mõne nädala jooksul täiendavad CVE-d Log4j kohta. PHP puhul tuli kaks päeva pärast paike märkus CVE-2026-115560 kohta. Miks täiendavad teated on tõenäolised, selgitab artikkel [Pärast PHP2Shelli: miks täiendavad teated on tõenäolised](https://phpsos.de/et/blog/weitere-php-meldungen/).

## Kus võrdlus lonkab

Suurim erinevus on nähtavuses. Log4j oli sageli rakenduse osana sisse ehitatud, vahel mitmekordselt pesastatud. Paljud käitajad lihtsalt ei teadnud, et nad seda kasutavad. PHP seevastu ei ole veebiserveris saladus. Selle asemel tekib PHP2Shelli puhul teistsugune ebaselgus: distributsioonid ja veebimajutajad paigaldavad parandusi backportina, kuvatav versiooninumber jääb samaks. PHP-d näeb, kuid mitte kohe seda, kas see on paigatud.

Teine erinevus on uuenduse lähteolukord. Log4Shelli puhul pidid erialarakenduste tootjad sageli esmalt uusi versioone tarnima. PHP2Shelli puhul on uuendused kõigi toetatud harude jaoks olemas. Keeruliseks läheb PHP 8.1 ja vanemate puhul, mille jaoks PHP projekt ametlikke uuendusi enam ei avalda.

Kolmas erinevus puudutab rünnaku kohta. Log4Shelli puhul võis ohtlik olla iga koht, kus rakendus sisendeid logis, ka sisesüsteemid, mis said internetist andmeid vaid kaudselt. PHP2Shelli puhul on kesksel kohal veebiserver, mis võtab päringuid otse vastu. See teeb mõjutatud süsteemide otsimise veidi ülevaatlikumaks: kõigepealt kõik avalikult kättesaadavad PHP teenused, seejärel sisemised rakendused.

Lõpuks erineb ärakasutamise olukord. Log4Shelli jaoks liikusid vara ringi lihtsad ründevahendid ja kompromiteerimised olid toonaste aruannete kohaselt hoiatuse ajal juba teada. PHP2Shelli puhul teatavad Cloudflare ja Patchstack rünnakukatsetest, watchTowr on ühe turvaaugu oma andmetel järele teinud, kinnitatud edukaid laiaulatuslikke rünnakuid BSI alguses ei teatanud. See võib muutuda. See on aga põhjus, miks võrdlus prognoosiks ei kõlba.

> **Näpunäide:**
> Kasutage Log4Shellist saadud kogemusi omas majas: millised loendid, käigud ja kontaktid toona aitasid? Suure osa sellest saab PHP2Shelli jaoks otse taaskasutada.

## Viis Log4Shellist tulenevat õppetundi, mis täna aitavad

1. **Inventar enne paika:** Kes 2021. aastal ajakohase süsteemide loendi omas, oli kiirem. See kehtib täna samamoodi. Juhendi pakub artikkel [Kõigi veebisaitide ja serverite inventar](https://phpsos.de/et/blog/inventar-websites-server/).
2. **Tunda sõltuvusi:** Tarkvarakomponentide loend, lühidalt SBOM, vastab küsimusele „Kus me seda kasutame?“ minutitega. PHP rakenduste puhul aitab pilk Composerisse, nagu kirjeldab [Composeri sõltuvuste kontroll](https://phpsos.de/et/ratgeber/composer-abhaengigkeiten-pruefen/).
3. **Hoida logisid alles:** Pärast Log4Shelli ei osanud paljud ettevõtted enam selgitada, kas nad olid mõjutatud, sest logid puudusid. Erialaajakirjandus soovitab PHP2Shelli puhul logid alates 20. oktoobrist kindlustada.
4. **Kontrollida tagantjärele:** Paik ei vasta küsimusele, mis enne juhtus. Jälgede kontroll kuulub juurde.
5. **Olla valmis järgmisteks teadeteks:** Esimene uuendus on harva viimane. Kes on uuendusteed kord korralikult sisse seadnud, kordab seda kiiresti.

## Kuidas PHP SOS konkreetselt aitab?

- **Ülevaade:** Selgitame välja, kus teie ettevõttes PHP töötab, millises versioonis ja töörežiimis.
- **Paik ja taaskäivitus:** Paigaldame uuendused ja tõendame seisu süsteemide kaupa.
- **Jälgede kontroll:** Kindlustame logid ja kontrollime kõrvalekaldeid alates 17. oktoobrist.
- **Püsiv jälgimine:** Hoiame teie süsteeme silma all, et järgnevad teated ei algaks jälle nullist.

Kuidas näeb välja jooksev seire, kirjeldab [Veebiserverite turvaseire](https://phpsos.de/et/leistungen/security-monitoring/).

## Kokkuvõte

PHP2Shell ei ole Log4Shell, kuid need riimuvad. Mõlemad tabavad alust, mõlemad vajavad enamat kui paika. Ettevõtted, kes on 2021. aastast kaasa võtnud inventari, logide säilitamise ja uuendusteed, on täna eelisseisus. Kõigi teiste jaoks on nüüd aeg see järele teha.


## Korduma kippuvad küsimused

**Kas PHP2Shell on sama hull kui Log4Shell?**  
Mõlemad on kriitilised turvaaugud väga levinud tarkvaras, mille kaudu ründajad saavad ilma sisselogimiseta koodi käivitada. BSI hindas Log4Shelli 2021. aastal punaseks, PHP2Shelli oranžiks. Oluline erinevus: Log4Shelli puhul olid toonaste aruannete kohaselt kompromiteerimised hoiatuse ajal juba teada, PHP2Shelli puhul ei olnud BSI andmetel alguses kinnitatud edukaid laiaulatuslikke rünnakuid.

**Mis oli Log4Shell?**  
Log4Shell oli kriitiline turvaauk Java teegis Log4j, mis sai teatavaks 2021. aasta detsembris ja mida peetakse tunnuse CVE-2021-44228 all. Log4j oli ehituskivina väga paljudes rakendustes, sageli ilma et käitajad sellest teadnud oleksid.

**Kas pärast PHP2Shelli tuleb veel turvauke?**  
See on võimalik. Pärast Log4Shelli järgnesid mõne nädala jooksul täiendavad CVE-d Log4j kohta. PHP puhul oli 23. oktoobril juba märkus CVE-2026-115560 kohta, mis rakendub ainult ebatavalise seadistuse korral. Arvestage järgnevate teadetega.

**Mis on SBOM?**  
Software Bill of Materials on loend kõigist tarkvarakomponentidest, millest rakendus koosneb. Selle abil saab uue turvaaugu korral kiiresti kindlaks teha, kus mõjutatud komponenti kasutatakse.

## Allikad

- [BSI: Bundesamt für Sicherheit in der Informationstechnik (Saksamaa föderaalne infoturbeamet)](https://www.bsi.bund.de/)
- [php.net: turvateated](https://www.php.net/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)