Ukratko: PHP2Shell i Log4Shell imaju zajedničko to što su kritične ranjivosti u vrlo raširenoj osnovnoj komponenti preko kojih napadači mogu izvršavati kod bez prijave. Razlikuju se u vidljivosti, razvrstavanju i stanju kod poznatih napada. Najvažnija pouka iz Log4Shella vrijedi i danas nepromijenjena: tko zna gdje radi pogođena komponenta, djeluje u satima umjesto u tjednima.
Zašto se usporedba baš sada pojavljuje posvuda
U prosincu 2021. Log4Shell je tjednima držao IT svijet u napetosti. BSI (njemački Savezni ured za informacijsku sigurnost) tada je proglasio najvišu razinu upozorenja, crveno. Gotovo pet godina kasnije u mnogim se člancima o PHP2Shellu spominje isto ime, često uz pitanje: „Hoće li opet biti tako loše?“
Usporedba je logična i korisna ako se ispravno provede. Pokazuje koji se obrasci ponavljaju i koja iskustva tvrtke danas mogu izravno iskoristiti. Kako BSI razvrstava aktualno stanje, objašnjava članak BSI razina upozorenja narančasta.
PHP2Shell i Log4Shell u izravnoj usporedbi
| Obilježje | Log4Shell (2021.) | PHP2Shell (2026.) |
|---|---|---|
| Pogođeni softver | Java biblioteka Log4j | sam PHP izvršno okruženje |
| Oznaka | CVE-2021-44228 | CVE-2026-109618, CVE-2026-109619 |
| Ocjena | CVSS 10.0 (v3) | CVSS v4.0 9.2 |
| Učinak | izvršavanje koda bez prijave | izvršavanje koda bez prijave |
| BSI razina upozorenja | 4 / crveno | 3 / narančasto |
| Stanje pri upozorenju | prema tadašnjim izvješćima kompromitacije poznate | prijavljeni pokušaji napada, prema BSI-ju u početku nema potvrđenih uspješnih napada u širokom opsegu |
| Vidljivost | često duboko skriven u aplikacijama | vidljiv na poslužitelju, ali razinu zakrpe zbog backportova teško je očitati |
| Naknadne objave | više dodatnih CVE-ova u nekoliko tjedana | napomena o CVE-2026-115560 dana 23.10. |
Što te dvije ranjivosti imaju zajedničko
Jedna osnovna komponenta, bezbroj aplikacija. Log4j je bio ugrađen u Java softver svake vrste, a PHP nosi WordPress, Shopware, TYPO3 i bezbroj vlastitih razvoja. U oba slučaja nije pogođen jedan proizvod, nego temelj.
Prijava nije potrebna. Obje ranjivosti dopuštaju izvršavanje koda izdaljine bez prijave. To ih čini privlačnima za automatizirane napade.
Zakrpa nije kraj. Kod Log4Shella pokazalo se da su mnogi sustavi bili napadnuti već prije ažuriranja. I kod PHP2Shella vrijedi: zakrpa ne uklanja ubačeni zlonamjerni softver. Prema medijskim izvješćima prvi pokušaj napada uočen je već 17. listopada.
Naknadne objave. Nakon Log4Shella u roku od nekoliko tjedana pojavili su se dodatni CVE-ovi za Log4j. Kod PHP-a je dva dana nakon zakrpa stigla napomena o CVE-2026-115560. Zašto su daljnje objave vjerojatne, objašnjava članak Nakon PHP2Shella: zašto su daljnje objave vjerojatne.
Gdje usporedba šepa
Najveća razlika leži u vidljivosti. Log4j je često bio ugrađen kao dio aplikacije, ponekad višestruko ugniježđen. Mnogi operateri jednostavno nisu znali da ga koriste. PHP, nasuprot tome, na web-poslužitelju nije tajna. Zato kod PHP2Shella nastaje druga vrsta nejasnoće: distribucije i pružatelji hostinga ispravke instaliraju kao backport, a prikazani broj verzije ostaje isti. PHP se vidi, ali ne i odmah je li zakrpan.
Druga je razlika polazna situacija kod ažuriranja. Kod Log4Shella su često proizvođači specijaliziranih aplikacija prvo morali isporučiti nove verzije. Kod PHP2Shella ažuriranja su dostupna za sve podržane grane. Teško postaje kod PHP-a 8.1 i starijih, za koje PHP projekt više ne objavljuje službena ažuriranja.
Treća razlika tiče se mjesta napada. Kod Log4Shella opasno je moglo biti svako mjesto na kojem je aplikacija bilježila unose, dakle i interni sustavi koji su samo neizravno primali podatke s interneta. Kod PHP2Shella u središtu je web-poslužitelj koji izravno prima zahtjeve. To traženje pogođenih sustava čini nešto preglednijim: prvo dolaze sve javno dostupne PHP usluge, potom interne aplikacije.
Naposljetku, razlikuje se stanje kod iskorištavanja. Za Log4Shell rano su kružili jednostavni alati za napad, a kompromitacije su prema tadašnjim izvješćima bile poznate već u trenutku upozorenja. Kod PHP2Shella Cloudflare i Patchstack izvješćuju o pokušajima napada, watchTowr je prema vlastitim navodima reproducirao jednu od ranjivosti, a potvrđene uspješne napade u širokom opsegu BSI u početku nije prijavio. To se može promijeniti. No to je razlog zašto usporedba ne vrijedi kao prognoza.
Iskoristite iskustva iz Log4Shella u vlastitoj kući: koji su popisi, postupci i kontakti tada pomogli? Mnogo toga može se izravno ponovno upotrijebiti za PHP2Shell.
Pet pouka iz Log4Shella koje danas pomažu
- Inventar prije zakrpe: Tko je 2021. imao aktualan popis svojih sustava, bio je brži. To vrijedi i danas. Upute nudi članak Inventar svih web-stranica i poslužitelja.
- Poznavati ovisnosti: Popis softverskih sastavnica, skraćeno SBOM, na pitanje „Gdje ovo koristimo?“ odgovara u minutama. Za PHP aplikacije pomaže pogled u Composer, kako opisuje Provjera Composer ovisnosti.
- Čuvati logove: Nakon Log4Shella mnoge tvrtke nisu mogle razjasniti jesu li bile pogođene jer su logovi nedostajali. Stručni tisak kod PHP2Shella savjetuje sigurnosno pohraniti logove od 20. listopada.
- Provjeriti naknadno: Zakrpa ne odgovara na pitanje što se događalo prije. Provjera tragova spada uz nju.
- Biti spreman na naknadne objave: Prvo ažuriranje rijetko je posljednje. Tko je jednom uredno uspostavio put ažuriranja, brzo ga ponavlja.
Kako PHP SOS konkretno pomaže?
- Popis stanja: Utvrđujemo gdje u Vašoj tvrtki radi PHP, u kojoj verziji i načinu rada.
- Zakrpa i ponovno pokretanje: Instaliramo ažuriranja i dokazujemo stanje po sustavu.
- Provjera tragova: Sigurnosno pohranjujemo logove i provjeravamo ima li neobičnosti od 17. listopada.
- Trajno praćenje: Držimo Vaše sustave na oku kako naknadne objave ne bi opet počinjale od nule.
Kako izgleda stalni nadzor, opisuje Sigurnosni monitoring za web-poslužitelje.
Zaključak
PHP2Shell nije Log4Shell, ali se rimuju. Obje pogađaju temelj, obje traže više od jedne zakrpe. Tvrtke koje su iz 2021. ponijele inventar, čuvanje logova i puteve ažuriranja danas su u prednosti. Za sve ostale sada je trenutak da to nadoknade.
Česta pitanja
Je li PHP2Shell jednako loš kao Log4Shell?
Obje su kritične ranjivosti u vrlo raširenom softveru preko kojih napadači mogu izvršavati kod bez prijave. BSI je Log4Shell 2021. razvrstao u crveno, a PHP2Shell u narančasto. Važna razlika: kod Log4Shella su prema tadašnjim izvješćima u trenutku upozorenja kompromitacije već bile poznate, a kod PHP2Shella prema BSI-ju u početku nije bilo potvrđenih uspješnih napada u širokom opsegu.
Što je bio Log4Shell?
Log4Shell je bila kritična ranjivost u Java biblioteci Log4j, koja je postala poznata u prosincu 2021. i vodi se pod CVE-2021-44228. Log4j je kao sastavnica bio ugrađen u vrlo mnogo aplikacija, često a da operateri to nisu znali.
Hoće li nakon PHP2Shella stići još ranjivosti?
To je moguće. Nakon Log4Shella u roku od nekoliko tjedana uslijedili su dodatni CVE-ovi za Log4j. Kod PHP-a je 23. listopada već postojala napomena o CVE-2026-115560, koji djeluje samo pri neobičnoj konfiguraciji. Računajte na naknadne objave.
Što je SBOM?
Software Bill of Materials je popis svih softverskih sastavnica od kojih se aplikacija sastoji. S njim se kod nove ranjivosti brzo može utvrditi gdje se pogođena sastavnica koristi.