Lyhyesti: PHP2Shellillä ja Log4Shellillä on yhteistä, että ne ovat kriittisiä aukkoja erittäin laajalle levinneessä perusosassa, joiden kautta hyökkääjät voivat suorittaa koodia ilman kirjautumista. Ne eroavat näkyvyydeltään, luokitukseltaan ja tunnettujen hyökkäysten tilanteeltaan. Log4Shellin tärkein oppi pätee muuttumattomana nyt: joka tietää, missä haavoittuva osa toimii, toimii tunneissa viikkojen sijaan.
Miksi vertailu tulee esiin juuri nyt kaikkialla
Joulukuussa 2021 Log4Shell piti IT-maailmaa jännityksessä viikkoja. BSI julisti silloin korkeimman varoitustason punainen. Lähes viisi vuotta myöhemmin PHP2Shellin yhteydessä sama nimi mainitaan monissa artikkeleissa, usein kysymyksen kera: ”Tuleeko tästä taas yhtä paha?”
Vertailu on ilmeinen, ja se on hyödyllinen, kun sitä tehdään oikein. Se osoittaa, mitkä kuviot toistuvat ja mitä kokemuksia yritykset voivat hyödyntää suoraan. Miten BSI luokittelee nykytilanteen, selittää artikkeli BSI:n oranssi varoitustaso.
PHP2Shell ja Log4Shell suorassa vertailussa
| Ominaisuus | Log4Shell (2021) | PHP2Shell (2026) |
|---|---|---|
| Haavoittuva ohjelmisto | Java-kirjasto Log4j | itse PHP-ajoympäristö |
| Tunniste | CVE-2021-44228 | CVE-2026-109618, CVE-2026-109619 |
| Arvosana | CVSS 10,0 (v3) | CVSS v4.0 9,2 |
| Vaikutus | koodin suoritus ilman kirjautumista | koodin suoritus ilman kirjautumista |
| BSI:n varoitustaso | 4 / punainen | 3 / oranssi |
| Tilanne varoitushetkellä | silloisten raporttien mukaan vaarantumisia tiedossa | hyökkäysyrityksiä raportoitu, BSI:n mukaan aluksi ei vahvistettuja onnistuneita hyökkäyksiä laajasti |
| Näkyvyys | usein syvälle sovelluksiin piilotettu | näkyvissä palvelimella, mutta korjaustila vaikealukuinen backporttien vuoksi |
| Jatkoilmoitukset | useita lisää CVE-tunnisteita muutamassa viikossa | ilmoitus CVE-2026-115560:sta 23.10. |
Mitä näillä kahdella aukolla on yhteistä
Yksi perusosa, lukemattomia sovelluksia. Log4j oli kaikenlaisessa Java-ohjelmistossa, PHP kantaa WordPressiä, Shopwarea, TYPO3:a ja lukemattomia omia kehityksiä. Kummassakin tapauksessa ei ole kyse yhdestä tuotteesta vaan perustasta.
Ei kirjautumista. Molemmat aukot sallivat koodin suorittamisen etänä ilman kirjautumista. Se tekee niistä houkuttelevia automaattisille hyökkäyksille.
Päivitys ei ole loppu. Log4Shellin kohdalla kävi ilmi, että monia järjestelmiä oli hyökätty jo ennen päivitystä. Myös PHP2Shellin kohdalla pätee: päivitys ei poista sisään tuotua haittaohjelmaa. Mediaraporttien mukaan ensimmäinen hyökkäysyritys havaittiin jo 17. lokakuuta.
Jatkoilmoitukset. Log4Shellin jälkeen muutamassa viikossa ilmestyi lisää Log4j-CVE-tunnisteita. PHP:n kohdalla ilmoitus CVE-2026-115560:sta tuli kaksi päivää korjausten jälkeen. Miksi lisäilmoitukset ovat todennäköisiä, selittää PHP2Shellin jälkeen: miksi lisäilmoitukset ovat todennäköisiä.
Missä vertailu ontuu
Suurin ero on näkyvyydessä. Log4j oli usein rakennettu osaksi sovellusta, joskus useaan kertaan sisäkkäin. Monet ylläpitäjät eivät yksinkertaisesti tienneet käyttävänsä sitä. PHP sen sijaan ei ole verkkopalvelimella salaisuus. Sen sijaan PHP2Shellin kohdalla syntyy toisenlainen epäselvyys: jakelut ja hosting-yritykset asentavat korjaukset backportteina, ja näytetty versionumero pysyy samana. PHP:n näkee, mutta ei heti sitä, onko se päivitetty.
Toinen ero on päivityksen lähtötilanne. Log4Shellin kohdalla erikoissovellusten valmistajien oli usein ensin toimitettava uusia versioita. PHP2Shellin kohdalla päivitykset ovat saatavilla kaikille tuetuille haaroille. Vaikeaa tulee PHP 8.1:n ja vanhempien kanssa, joille PHP-projekti ei enää julkaise virallisia päivityksiä.
Kolmas ero koskee hyökkäyksen paikkaa. Log4Shellin kohdalla vaarallinen saattoi olla mikä tahansa kohta, jossa sovellus kirjasi syötteitä, siis myös sisäiset järjestelmät, jotka saivat tietoa internetistä vain välillisesti. PHP2Shellin kohdalla keskipisteenä on verkkopalvelin, joka ottaa pyynnöt suoraan vastaan. Se tekee alttiiden järjestelmien etsimisestä hieman selkeämpää: ensin kaikki julkisesti tavoitettavat PHP-palvelut, sitten sisäiset sovellukset.
Lopulta eroaa hyväksikäytön tilanne. Log4Shellille kiersi varhain yksinkertaisia hyökkäystyökaluja, ja vaarantumiset olivat silloisten raporttien mukaan tiedossa jo varoituksen hetkellä. PHP2Shellin kohdalla Cloudflare ja Patchstack raportoivat hyökkäysyrityksistä, watchTowr on omien tietojensa mukaan toistanut yhden aukoista, vahvistettuja onnistuneita hyökkäyksiä laajasti BSI ei aluksi ilmoittanut. Se voi muuttua. Se on kuitenkin yksi syy, miksi vertailu ei kelpaa ennusteeksi.
Hyödyntäkää Log4Shellin kokemuksia omassa talossa: mitkä listat, prosessit ja yhteyshenkilöt auttoivat silloin? Moni niistä on käytettävissä suoraan PHP2Shellin kohdalla.
Viisi Log4Shellin oppia, jotka auttavat nyt
- Luettelo ennen päivitystä: Joka vuonna 2021 omisti ajantasaisen luettelon järjestelmistään, oli nopeampi. Sama pätee nyt. Ohjeen tarjoaa artikkeli Kaikkien verkkosivustojen ja palvelimien luettelo.
- Tunteko riippuvuudet: Ohjelmistokomponenttien osaluettelo eli SBOM vastaa kysymykseen ”Missä käytämme tätä?” minuuteissa. PHP-sovelluksissa auttaa Composerin tarkastelu, jota kuvaa Composer-riippuvuuksien tarkistaminen.
- Säilyttäkää lokit: Log4Shellin jälkeen monet yritykset eivät enää pystyneet selvittämään, olivatko ne olleet kohteena, koska lokit puuttuivat. Ammattilehdistö neuvoo PHP2Shellin kohdalla tallentamaan lokit 20. lokakuuta alkaen.
- Tarkistakaa jälkikäteen: Päivitys ei vastaa siihen, mitä aiemmin tapahtui. Jälkien tarkistus kuuluu asiaan.
- Varautukaa jatkoilmoituksiin: Ensimmäinen päivitys on harvoin viimeinen. Joka on kerran rakentanut päivitystien siististi, toistaa sen nopeasti.
Miten PHP SOS auttaa konkreettisesti?
- Kartoitus: Selvitämme, missä PHP yrityksessänne toimii, missä versiossa ja ajotavalla.
- Päivitys ja uudelleenkäynnistys: Asennamme päivitykset ja todistamme tilan järjestelmittäin.
- Jälkien tarkistus: Tallennamme lokit ja tarkistamme poikkeamat 17. lokakuuta alkaen.
- Jatkuva seuranta: Pidämme järjestelmänne silmällä, jotta jatkoilmoitukset eivät taas aloita nollasta.
Miltä jatkuva valvonta näyttää, kuvaa Tietoturvaseuranta verkkopalvelimille.
Yhteenveto
PHP2Shell ei ole Log4Shell, mutta ne riimittyvät. Molemmat osuvat perustaan, molemmat vaativat enemmän kuin päivityksen. Yritykset, jotka ottivat vuodesta 2021 mukaansa luettelon, lokien säilytyksen ja päivitystiet, ovat nyt edullisessa asemassa. Kaikille muille nyt on aika korjata se.
Usein kysytyt kysymykset
Onko PHP2Shell yhtä paha kuin Log4Shell?
Molemmat ovat kriittisiä aukkoja erittäin laajalle levinneessä ohjelmistossa, joiden kautta hyökkääjät voivat suorittaa koodia ilman kirjautumista. BSI luokitteli Log4Shellin vuonna 2021 punaiseksi, PHP2Shellin oranssiksi. Tärkeä ero: Log4Shellin kohdalla silloisten raporttien mukaan vaarantumisia tiedettiin jo varoituksen aikaan, PHP2Shellin kohdalla BSI:n mukaan aluksi ei vahvistettuja onnistuneita hyökkäyksiä laajasti.
Mikä Log4Shell oli?
Log4Shell oli kriittinen aukko Java-kirjastossa Log4j, joka tuli tietoon joulukuussa 2021 ja jota seurataan tunnuksella CVE-2021-44228. Log4j oli osana hyvin monissa sovelluksissa, usein ylläpitäjien tietämättä.
Tuleeko PHP2Shellin jälkeen lisää aukkoja?
Se on mahdollista. Log4Shellin jälkeen muutaman viikon sisällä tuli lisää Log4j-CVE-tunnisteita. PHP:n kohdalla oli 23. lokakuuta jo ilmoitus CVE-2026-115560:sta, joka tehoaa vain epätavallisella konfiguraatiolla. Varautukaa jatkoilmoituksiin.
Mikä SBOM on?
Software Bill of Materials on osaluettelo kaikista ohjelmistokomponenteista, joista sovellus koostuu. Sen avulla uuden aukon yhteydessä voi nopeasti todeta, missä haavoittuvaa komponenttia käytetään.