Stručne: PHP2Shell a Log4Shell majú spoločné to, že sú kritické zraniteľnosti vo veľmi rozšírenom základnom prvku, cez ktoré môžu útočníci vykonávať kód bez prihlásenia. Líšia sa viditeľnosťou, zaradením a situáciou pri známych útokoch. Najdôležitejšie poučenie z Log4Shell platí dnes nezmenene: kto vie, kde dotknutý prvok beží, koná v priebehu hodín namiesto týždňov.
Prečo sa porovnanie objavuje práve teraz všade
V decembri 2021 držal Log4Shell IT svet v napätí celé týždne. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) vtedy vyhlásilo najvyšší stupeň varovania, červený. Takmer o päť rokov neskôr padá pri PHP2Shell v mnohých príspevkoch rovnaké meno, často spojené s otázkou: „Bude to zasa také zlé?“
Porovnanie je nasnadzujúce a je užitočné, ak sa vedie správne. Ukazuje, ktoré vzorce sa opakujú a ktoré skúsenosti môžu podniky dnes priamo využiť. Ako BSI zaraďuje aktuálnu situáciu, vysvetľuje príspevok Stupeň varovania BSI oranžový.
PHP2Shell a Log4Shell v priamom porovnaní
| Znak | Log4Shell (2021) | PHP2Shell (2026) |
|---|---|---|
| Dotknutý softvér | knižnica Java Log4j | samotný runtime PHP |
| Identifikátor | CVE-2021-44228 | CVE-2026-109618, CVE-2026-109619 |
| Hodnotenie | CVSS 10.0 (v3) | CVSS v4.0 9,2 |
| Účinok | vykonanie kódu bez prihlásenia | vykonanie kódu bez prihlásenia |
| Stupeň varovania BSI | 4 / červený | 3 / oranžový |
| Situácia pri varovaní | podľa vtedajších správ známe kompromitácie | pokusy o útok hlásené, podľa BSI spočiatku žiadne potvrdené úspešné útoky vo väčšom rozsahu |
| Viditeľnosť | často ukrytý hlboko v aplikáciách | viditeľný na serveri, stav záplat je však kvôli backportom ťažko čitateľný |
| Následné hlásenia | niekoľko ďalších CVE v priebehu týždňov | upozornenie na CVE-2026-115560 dňa 23. 10. |
Čo majú obe zraniteľnosti spoločné
Jeden základný prvok, nespočetné aplikácie. Log4j bol súčasťou softvéru v Jave všetkého druhu, PHP nesie WordPress, Shopware, TYPO3 a nespočetné vlastné vývoje. V oboch prípadoch nie je dotknutý jeden produkt, ale základ.
Žiadne prihlásenie nie je potrebné. Obe zraniteľnosti umožňujú vykonanie kódu na diaľku bez prihlásenia. To ich robí atraktívnymi pre automatizované útoky.
Záplata nie je koniec. Pri Log4Shell sa ukázalo, že mnohé systémy boli napadnuté už pred aktualizáciou. Aj pri PHP2Shell platí: záplata neodstráni zavlečený škodlivý softvér. Podľa mediálnych správ bol prvý pokus o útok pozorovaný už 17. októbra.
Následné hlásenia. Po Log4Shell vyšli v priebehu niekoľkých týždňov ďalšie CVE k Log4j. Pri PHP prišlo dva dni po záplatách upozornenie na CVE-2026-115560. Prečo sú ďalšie hlásenia pravdepodobné, vysvetľuje Po PHP2Shell: prečo sú ďalšie hlásenia pravdepodobné.
Kde porovnanie krívá
Najväčší rozdiel leží vo viditeľnosti. Log4j bol často zabudovaný ako súčasť aplikácie, niekedy viacnásobne vnorený. Mnohí prevádzkovatelia jednoducho nevedeli, že ho používajú. PHP naproti tomu nie je na webovom serveri tajomstvom. Pri PHP2Shell však vzniká iná nejasnosť: distribúcie a poskytovatelia hostingu nasadzujú opravy ako backport, zobrazené číslo verzie zostáva rovnaké. PHP vidno, no nie hneď, či je zaplátané.
Druhý rozdiel je východisková situácia pri aktualizácii. Pri Log4Shell museli často výrobcovia odborných aplikácií najprv dodať nové verzie. Pri PHP2Shell sú aktualizácie pripravené pre všetky podporované vetvy. Ťažké to je pri PHP 8.1 a starších, pre ktoré projekt PHP už nezverejňuje oficiálne aktualizácie.
Tretí rozdiel sa týka miesta útoku. Pri Log4Shell mohlo byť nebezpečné každé miesto, kde aplikácia zaznamenávala vstupy, teda aj interné systémy, ktoré dostávali údaje z internetu len nepriamo. Pri PHP2Shell je v strede webový server, ktorý prijíma požiadavky priamo. To robí hľadanie dotknutých systémov o niečo prehľadnejším: najprv všetky verejne dostupné služby PHP, potom interné aplikácie.
Napokon sa líši situácia pri zneužívaní. Pre Log4Shell kolovali skoro jednoduché útočné nástroje a kompromitácie boli podľa vtedajších správ známe už v čase varovania. Pri PHP2Shell hlásia Cloudflare a Patchstack pokusy o útok, watchTowr podľa vlastných údajov jednu zo zraniteľností zreprodukoval, potvrdené úspešné útoky vo väčšom rozsahu BSI spočiatku nehlásilo. To sa môže zmeniť. Je to však dôvod, prečo porovnanie nie je vhodné ako prognóza.
Využite skúsenosti z Log4Shell vo vlastnom podniku: ktoré zoznamy, postupy a kontakty vtedy pomohli? Mnohé z toho sa dá pre PHP2Shell priamo znovu použiť.
Päť poučení z Log4Shell, ktoré dnes pomáhajú
- Inventár pred záplatou: Kto mal v roku 2021 aktuálny zoznam svojich systémov, bol rýchlejší. Platí to dnes rovnako. Návod ponúka príspevok Inventár všetkých webov a serverov.
- Poznať závislosti: Zoznam softvérových stavebných prvkov, skrátene SBOM, zodpovie otázku „Kde to používame?“ v priebehu minút. Pri aplikáciách PHP pomôže pohľad do Composeru, ako ho popisuje Kontrola závislostí Composeru.
- Uchovávať logy: Po Log4Shell už mnohé podniky nevedeli objasniť, či boli dotknuté, pretože logy chýbali. Odborná tlač pri PHP2Shell radí zálohovať logy od 20. októbra.
- Kontrolovať dodatočne: Záplata neodpovie na to, čo sa stalo predtým. Kontrola stôp k tomu patrí.
- Byť pripravený na následné hlásenia: Prvá aktualizácia je zriedka posledná. Kto raz čisto zriadil cestu aktualizácie, zopakuje ju rýchlo.
Ako konkrétne pomáha PHP SOS?
- Súpis: Zistíme, kde vo vašom podniku PHP beží, v akej verzii a režime prevádzky.
- Záplata a reštart: Nasadzujeme aktualizácie a dokladáme stav pre každý systém.
- Kontrola stôp: Zálohujeme logy a kontrolujeme nápadnosti od 17. októbra.
- Trvalé sledovanie: Vaše systémy držíme na očiach, aby následné hlásenia nezačínali zasa od nuly.
Ako vyzerá priebežné monitorovanie, popisuje bezpečnostný monitoring webových serverov.
Záver
PHP2Shell nie je Log4Shell, ale rýmuje sa. Obe zasahujú základ, obe potrebujú viac než jednu záplatu. Podniky, ktoré si z roku 2021 odniesli inventár, uchovávanie logov a cesty aktualizácií, sú dnes v výhode. Pre všetkých ostatných je teraz čas to dohnať.
Časté otázky
Je PHP2Shell také zlé ako Log4Shell?
Obe sú kritické zraniteľnosti vo veľmi rozšírenom softvéri, cez ktoré môžu útočníci vykonávať kód bez prihlásenia. BSI zaradilo Log4Shell v roku 2021 do červeného stupňa, PHP2Shell do oranžového. Dôležitý rozdiel: pri Log4Shell boli podľa vtedajších správ pri varovaní známe už kompromitácie, pri PHP2Shell neboli podľa BSI spočiatku známe žiadne potvrdené úspešné útoky vo väčšom rozsahu.
Čo bol Log4Shell?
Log4Shell bola kritická zraniteľnosť v knižnici Java Log4j, ktorá sa stala známou v decembri 2021 a vedie sa pod CVE-2021-44228. Log4j bol súčasťou veľmi mnohých aplikácií, často bez toho, aby to prevádzkovatelia vedeli.
Prídu po PHP2Shell ďalšie zraniteľnosti?
Je to možné. Po Log4Shell nasledovali v priebehu niekoľkých týždňov ďalšie CVE k Log4j. Pri PHP už 23. októbra existovalo upozornenie na CVE-2026-115560, ktoré zaberie len pri nezvyčajnej konfigurácii. Počítajte s následnými hláseniami.
Čo je SBOM?
Software Bill of Materials je zoznam všetkých softvérových stavebných prvkov, z ktorých sa aplikácia skladá. Pomocou neho možno pri novej zraniteľnosti rýchlo zistiť, kde sa dotknutý prvok používa.