PHP2Shell agus Log4Shell: cad atá i gcoitinne ag na leochaileachtaí

Go achomair: Is leochaileachtaí criticiúla iad PHP2Shell agus Log4Shell araon i mbunbhloc an-fhorleathan trína bhféadfaidh ionsaitheoirí cód a rith gan logáil isteach. Tá siad difriúil maidir le hinfheictheacht, aicmiú agus staid na n-ionsaithe aitheanta. Tá an ceacht is tábhachtaí ó Log4Shell fós i bhfeidhm gan athrú: an té a bhfuil a fhios aige cá bhfuil an bloc buailte ag rith, gníomhaíonn sé i gceann uaireanta an chloig in ionad seachtainí.

Cén fáth a dtagann an chomparáid chun cinn i ngach áit anois

I mí na Nollag 2021 choinnigh Log4Shell domhan an TF ar bís ar feadh seachtainí. D'fhógair an BSI an leibhéal rabhaidh is airde, dearg, ag an am. Beagnach cúig bliana ina dhiaidh sin luaitear an t-ainm céanna i go leor alt faoi PHP2Shell, go minic i dteannta na ceiste: „An mbeidh sé chomh dona arís?“

Tá an chomparáid soiléir, agus tá sí úsáideach má dhéantar i gceart í. Léiríonn sí cé na patrúin a athdhéantar agus cé na taithí is féidir le gnólachtaí a úsáid go díreach inniu. Míníonn an t-alt Leibhéal rabhaidh flannbhuí an BSI conas a mheasann an BSI an staid reatha.

PHP2Shell agus Log4Shell i gcomparáid dhíreach

Cad atá i gcoitinne ag an dá leochaileacht

Bunbhloc amháin, feidhmchláir gan áireamh. Bhí Log4j i mbogearraí Java de gach cineál, iompraíonn PHP WordPress, Shopware, TYPO3 agus forbairtí in-tí gan áireamh. Sa dá chás ní táirge amháin atá buailte, ach bunsraith.

Níl logáil isteach ag teastáil. Ceadaíonn an dá leochaileacht cód a rith ón gcianrochtain gan logáil isteach. Cuireann sé sin tarraingteach iad d'ionsaithe uathoibrithe.

Ní hé an paiste an deireadh. Léirigh Log4Shell go raibh go leor córas ionsaithe cheana roimh an nuashonrú. I gcás PHP2Shell freisin: ní bhaineann paiste bogearraí mailíseacha a cuireadh isteach. De réir tuairiscí sna meáin, breathnaíodh ar an gcéad iarracht ionsaithe cheana an 17 Deireadh Fómhair.

Tuairiscí leantacha. Tar éis Log4Shell tháinig CVEanna eile faoi Log4j laistigh de chúpla seachtain. I gcás PHP tháinig an nóta faoi CVE-2026-115560 dhá lá tar éis na bpaistí. Míníonn Tar éis PHP2Shell: cén fáth a bhfuil tuairiscí eile dóchúil cén fáth a bhfuil tuairiscí breise dóchúil.

An áit a bhfuil an chomparáid bacach

Tá an difríocht is mó san infheictheacht. Go minic bhí Log4j tógtha isteach mar chuid d'fheidhmchlár, uaireanta neadaithe go mion. Ní raibh a fhios ag go leor oibreoirí go simplí go raibh sé in úsáid acu. Os a choinne sin, ní rún é PHP ar fhreastalaí gréasáin. Ach i gcás PHP2Shell tagann éiginnteacht eile chun cinn: cuireann dáiltí agus óstálaithe ceartuithe isteach mar ais-phortálacha, fanann an uimhir leagain a thaispeántar mar an gcéanna. Feiceann tú PHP, ach ní láithreach an bhfuil sé paistithe.

Is é an dara difríocht an pointe tosaigh don nuashonrú. I gcás Log4Shell b'éigean do mhonaróirí feidhmchlár speisialtóireachta leaganacha nua a sholáthar ar dtús go minic. I gcás PHP2Shell tá nuashonruithe ar fáil do gach brainse tacaithe. Éiríonn sé deacair le PHP 8.1 agus níos sine, nach bhfoilsíonn tionscadal PHP nuashonruithe oifigiúla dóibh a thuilleadh.

Baineann an tríú difríocht le háit an ionsaithe. I gcás Log4Shell, d'fhéadfadh aon áit a bheith contúirteach ina logáil feidhmchlár ionchur, is é sin córais inmheánacha freisin nach bhfuair sonraí ón idirlíon ach go hindíreach. I gcás PHP2Shell is é an freastalaí gréasáin atá i gceist, a ghlacann le hiarratais go díreach. Déanann sé sin an cuardach ar chórais bhuailte beagán níos soiléire: tagann na seirbhísí PHP uile atá inrochtana go poiblí ar dtús, feidhmchláir inmheánacha ina dhiaidh.

Ar deireadh tá difríocht sa staid maidir le saothrú. I gcás Log4Shell bhí uirlisí ionsaithe simplí i gcúrsaíocht go luath, agus bhí comhréitigh ar eolas cheana tráth an rabhaidh, de réir tuairiscí an ama. I gcás PHP2Shell tuairiscíonn Cloudflare agus Patchstack iarrachtaí ionsaithe, d'athchruthaigh watchTowr ceann de na leochaileachtaí dar lena dtuairisc féin, ach níor thuairiscigh an BSI ionsaithe rathúla deimhnithe ar scála leathan ar dtús. D'fhéadfadh sé sin athrú. Ach is cúis é nach bhfuil an chomparáid feiliúnach mar thuar.

Cúig cheacht ó Log4Shell a chabhraíonn inniu

1. Fardal roimh phaiste: An té a raibh liosta reatha de chórais aige in 2021, bhí sé níos tapa. Tá sé fós fíor. Tá treoir san alt Fardal de gach suíomh gréasáin agus freastalaí.
2. Spleáchais a aithint: Freagraíonn liosta blocanna bogearraí, SBOM go hachomair, an cheist „Cá n-úsáidimid é seo?“ i nóiméid. I gcás feidhmchláir PHP cabhraíonn an breathnú ar Composer, mar a mhíníonn Spleáchais Composer a sheiceáil.
3. Logaí a choinneáil: Tar éis Log4Shell ní raibh go leor gnólachtaí in ann a shoiléiriú an raibh siad buailte, mar go raibh logaí ar iarraidh. Molann an preas teicniúil i gcás PHP2Shell logaí ón 20 Deireadh Fómhair a shábháil.
4. Seiceáil ina dhiaidh: Ní fhreagraíonn paiste ar tharla roimhe. Baineann seiceáil le haghaidh rianta leis.
5. A bheith ullmhaithe do thuairiscí leantacha: Is annamh gurb é an chéad nuashonrú an ceann deireanach. An té a bhunaigh an bealach nuashonraithe go glan uair amháin, athdhéanann sé go tapa é.

Conas a chabhraíonn PHP SOS go nithiúil?

• Tuairisc ar an stoc: Faighimid amach cá bhfuil PHP ag rith i do ghnólacht, in aon leagan agus mód oibriúcháin.
• Paiste agus atosú: Cuirimid nuashonruithe isteach agus cruthaímid an staid do gach córas.
• Seiceáil rianta: Sábhálaimid logaí agus seiceálaimid le haghaidh neamhghnácha ón 17 Deireadh Fómhair.
• Faireachán buan: Coinnímid do chórais faoi bhreathnú ionas nach dtosaíonn tuairiscí leantacha ó nialas arís.

Déanann Faireachán slándála do fhreastalaithe gréasáin cur síos ar cén chuma atá ar an bhfaireachán leanúnach.

Conclúid

Ní Log4Shell é PHP2Shell, ach tá macalla de ann. Buaileann an bheirt bunsraith, teastaíonn níos mó ná paiste amháin ón mbeirt. Tá gnólachtaí a thóg fardal, coinneáil logaí agus bealaí nuashonraithe leo ó 2021 i bhfeidhm inniu. Do chách eile, anois an t-am chun é sin a dhéanamh.

Ceisteanna coitianta

Foinsí

• BSI: Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise
• php.net: fógraí slándála
• TechTarget: PHP2Shell, 22M exposed servers at risk