# PHP2Shell ir Log4Shell: ką spragos turi bendro > PHP2Shell ir Log4Shell palyginimas: kas spragas sieja, kuo jos skiriasi ir kokias 2021 m. pamokas įmonės gali pritaikyti šiandien. Šaltinis: https://phpsos.de/lt/blog/php2shell-und-log4shell/ Būsena: 2026-10-25 Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6 **Trumpai:** PHP2Shell ir Log4Shell bendra tai, kad tai kritinės spragos labai plačiai paplitusioje pagrindinėje dalyje, per kurias užpuolikai be prisijungimo gali vykdyti kodą. Jos skiriasi matomumu, vertinimu ir padėtimi dėl žinomų atakų. Svarbiausia Log4Shell pamoka galioja ir šiandien nepakitusi: kas žino, kur veikia paveikta dalis, veikia per valandas, o ne per savaites. ## Kodėl palyginimas dabar minimas visur 2021 m. gruodį Log4Shell savaites laikė IT pasaulį įtampoje. BSI tada paskelbė aukščiausią raudoną įspėjimo lygį. Beveik po penkerių metų dėl PHP2Shell daugelyje straipsnių minimas tas pats pavadinimas, dažnai su klausimu: „Ar vėl bus taip blogai?“ Palyginimas peršasi ir yra naudingas, jei jį atlikti teisingai. Jis rodo, kurie šablonai kartojasi ir kokia patirtis įmonėms šiandien tiesiogiai pritaikoma. Kaip BSI vertina dabartinę padėtį, paaiškina straipsnis [BSI oranžinis įspėjimo lygis](https://phpsos.de/lt/blog/bsi-warnstufe-orange-erklaert/). ## PHP2Shell ir Log4Shell tiesioginis palyginimas | Požymis | Log4Shell (2021) | PHP2Shell (2026) | |---|---|---| | Paveikta programinė įranga | Java biblioteka Log4j | pati PHP vykdymo aplinka | | Žymuo | CVE-2021-44228 | CVE-2026-109618, CVE-2026-109619 | | Įvertinimas | CVSS 10,0 (v3) | CVSS v4.0 9,2 | | Poveikis | kodo vykdymas be prisijungimo | kodo vykdymas be prisijungimo | | BSI įspėjimo lygis | 4 / raudonas | 3 / oranžinis | | Padėtis įspėjimo metu | pasak to meto pranešimų, apie kompromitavimus žinota | pranešta apie atakos bandymus, pasak BSI, iš pradžių patvirtintų sėkmingų plataus masto atakų nebuvo | | Matomumas | dažnai giliai paslėpta programose | serveryje matoma, bet pataisų būseną dėl atgalinių perkėlimų sunku nuskaityti | | Tolesni pranešimai | kelios kitos CVE per kelias savaites | pranešimas apie CVE-2026-115560 spalio 23 d. | ## Ką abi spragos turi bendro **Viena pagrindinė dalis, begalė programų.** Log4j buvo visų rūšių Java programinėje įrangoje, PHP veikia WordPress, Shopware, TYPO3 ir begalė nuosavų sprendimų. Abiem atvejais paveiktas ne vienas produktas, o pamatas. **Prisijungti nereikia.** Abi spragos leidžia vykdyti kodą nuotoliniu būdu be prisijungimo. Tai daro jas patrauklias automatizuotoms atakoms. **Pataisa nėra pabaiga.** Su Log4Shell paaiškėjo, kad daugelis sistemų prieš atnaujinimą jau buvo užpultos. Ir su PHP2Shell galioja: pataisa neišvalo įterptos kenkėjiškos programinės įrangos. Pasak žiniasklaidos pranešimų, pirmas atakos bandymas buvo pastebėtas jau spalio 17 d. **Tolesni pranešimai.** Po Log4Shell per kelias savaites pasirodė kitos Log4j CVE. PHP atveju po dviejų dienų nuo pataisų pasirodė pranešimas apie CVE-2026-115560. Kodėl tolesni pranešimai tikėtini, paaiškina straipsnis [Po PHP2Shell: kodėl tolesni pranešimai tikėtini](https://phpsos.de/lt/blog/weitere-php-meldungen/). ## Kur palyginimas šlubuoja Didžiausias skirtumas yra matomumas. Log4j dažnai buvo įmontuotas kaip programos dalis, kartais kelis kartus įdėtas. Daugelis operatorių tiesiog nežinojo, kad jį naudoja. PHP žiniatinklio serveryje, priešingai, nėra paslaptis. Bet su PHP2Shell atsiranda kitas neaiškumas: distribucijos ir talpintojai taisymus įdiegia kaip atgalinį perkėlimą (backport), o rodomas versijos numeris lieka tas pats. PHP matyti, bet ne iš karto matyti, ar jis pataisytas. Antras skirtumas yra pradinė padėtis dėl atnaujinimo. Su Log4Shell dažnai pirmiausia specializuotų programų gamintojai turėjo pateikti naujas versijas. Su PHP2Shell atnaujinimai visoms palaikomoms šakoms paruošti. Sunku tampa su PHP 8.1 ir senesnėmis, kurioms PHP projektas oficialių atnaujinimų nebeskelbia. Trečias skirtumas susijęs su atakos vieta. Su Log4Shell pavojinga galėjo būti bet kuri vieta, kur programa registravo įvestį, taigi ir vidinės sistemos, kurios duomenis iš interneto gaudavo tik netiesiogiai. Su PHP2Shell dėmesio centre yra žiniatinklio serveris, tiesiogiai priimantis užklausas. Tai paieškos po paveiktas sistemas daro šiek tiek aiškesnę: pirmiausia visos viešai pasiekiamos PHP paslaugos, po to vidinės programos. Galiausiai skiriasi padėtis dėl išnaudojimo. Su Log4Shell anksti plito paprasti atakos įrankiai, o kompromitavimai, pasak to meto pranešimų, buvo žinomi jau įspėjimo metu. Dėl PHP2Shell Cloudflare ir Patchstack praneša apie atakos bandymus, watchTowr, pasak jų pačių, vieną iš spragų atkūrė, o patvirtintų sėkmingų plataus masto atakų BSI iš pradžių nepranešė. Tai gali pasikeisti. Bet tai yra viena iš priežasčių, kodėl palyginimas netinka kaip prognozė. > **Patarimas:** > Panaudokite Log4Shell patirtį savo įmonėje: kokie sąrašai, eigos ir kontaktai tada padėjo? Daug ko iš to galima tiesiogiai pakartotinai naudoti PHP2Shell atveju. ## Penkios Log4Shell pamokos, kurios padeda šiandien 1. **Inventorius prieš pataisą:** kas 2021 m. turėjo aktualų savo sistemų sąrašą, buvo greitesnis. Tai galioja ir šiandien. Instrukciją pateikia straipsnis [Visų svetainių ir serverių inventorius](https://phpsos.de/lt/blog/inventar-websites-server/). 2. **Žinoti priklausomybes:** programinės įrangos sudedamųjų dalių sąrašas, trumpai SBOM, į klausimą „Kur tai naudojame?“ atsako per minutes. PHP programoms padeda žvilgsnis į Composer, kaip jį aprašo [Composer priklausomybių tikrinimas](https://phpsos.de/lt/ratgeber/composer-abhaengigkeiten-pruefen/). 3. **Saugoti žurnalus:** po Log4Shell daugelis įmonių nebegalėjo išsiaiškinti, ar buvo paveiktos, nes trūko žurnalų. Dėl PHP2Shell specializuota spauda pataria žurnalus išsaugoti nuo spalio 20 d. 4. **Tikrinti vėliau:** pataisa neatsako, kas įvyko anksčiau. Pėdsakų patikra priklauso prie to. 5. **Būti pasirengus tolesniems pranešimams:** pirmas atnaujinimas retai būna paskutinis. Kas atnaujinimo kelią vieną kartą sutvarkė, jį greitai pakartoja. ## Kaip PHP SOS padeda konkrečiai? - **Inventorizacija:** Nustatome, kur jūsų įmonėje veikia PHP, kokios versijos ir veikimo režimo. - **Pataisa ir paleidimas iš naujo:** Įdiegiame atnaujinimus ir kiekvienos sistemos būklę įrodome. - **Pėdsakų patikra:** Saugome žurnalus ir tikriname dėl neįprastumų nuo spalio 17 d. - **Nuolatinis stebėjimas:** Jūsų sistemas laikome akiratyje, kad tolesni pranešimai vėl nepradėtų nuo nulio. Kaip atrodo nuolatinė priežiūra, aprašo [Žiniatinklio serverių saugumo stebėsena](https://phpsos.de/lt/leistungen/security-monitoring/). ## Išvada PHP2Shell nėra Log4Shell, bet jos rimuojasi. Abi smogia pamatui, abiem reikia daugiau nei vienos pataisos. Įmonės, kurios iš 2021 m. pasiėmė inventorių, žurnalų saugojimą ir atnaujinimo kelius, šiandien turi pranašumą. Visiems kitiems dabar laikas tai pasivyti. ## Dažni klausimai **Ar PHP2Shell tokia pat bloga kaip Log4Shell?** Abi yra kritinės spragos labai paplitusioje programinėje įrangoje, per kurias užpuolikai be prisijungimo gali vykdyti kodą. BSI (Vokietijos federalinė informacijos saugumo tarnyba) Log4Shell 2021 m. įvertino raudonu, PHP2Shell oranžiniu lygiu. Svarbus skirtumas: dėl Log4Shell, pasak to meto pranešimų, įspėjimo metu jau buvo žinoma apie kompromitavimus, o dėl PHP2Shell, pasak BSI, iš pradžių nebuvo patvirtintų sėkmingų plataus masto atakų. **Kas buvo Log4Shell?** Log4Shell buvo kritinė Java bibliotekos Log4j spraga, paaiškėjusi 2021 m. gruodį ir registruojama kaip CVE-2021-44228. Log4j buvo daugybės programų sudedamoji dalis, dažnai operatoriams to nežinant. **Ar po PHP2Shell bus daugiau spragų?** Tai įmanoma. Po Log4Shell per kelias savaites sekė kiti Log4j CVE. PHP atveju spalio 23 d. jau buvo pranešimas apie CVE-2026-115560, kuri veikia tik esant neįprastai konfigūracijai. Numatykite tolesnius pranešimus. **Kas yra SBOM?** Software Bill of Materials yra visų programinės įrangos sudedamųjų dalių, iš kurių sudaryta programa, sąrašas. Jį turint, atsiradus naujai spragai galima greitai nustatyti, kur naudojama paveikta dalis. ## Šaltiniai - [BSI: Vokietijos federalinė informacijos saugumo tarnyba](https://www.bsi.bund.de/) - [php.net: saugumo pranešimai](https://www.php.net/) - [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)