Vergleich

PHP2Shell vs. Log4Shell

Beides ist Remote Code Execution ohne Authentifizierung in Software, die unter einem riesigen Teil des Internets liegt. Die großen Unterschiede: Log4Shell war trivial auszunutzen und schwer zu finden; PHP2Shell ist schwerer auszunutzen und leichter zu finden.

Zuletzt geprüft 2026-10-22

PHP2ShellLog4Shell
Was es istZwei Speichersicherheits-Bugs im PHP-InterpreterJNDI-Lookup-Injection in der Java-Logging-Bibliothek Log4j 2
CVECVE-2026-109618, CVE-2026-109619CVE-2021-44228 (plus Folge-CVEs)
Offengelegt21. Okt. 2026 (geleakt am 20. Okt.)9. Dez. 2021 (Exploit am selben Tag öffentlich)
ScoreCVSS 4.0 9.2CVSS 3.1 10.0
AuthentifizierungKeineKeine
Wie schwer auszunutzenSchwerer: präparierte Multipart-Requests, über wiederholte Versuche auf das Speicherlayout jedes Ziels abgestimmtTrivial: ein String wie ${jndi:ldap://…} an beliebiger Stelle, die geloggt wird
ReichweiteJede Website auf anfälligem PHP — ein großer Teil des WebsJede Java-Anwendung, die Angreifer-Eingaben mit Log4j 2.0–2.14.1 loggt — Server, Appliances, Spiele
Betroffene Systeme findenRecht einfach: Es ist die PHP-Laufzeit; Version pro Server oder Container prüfenSchwer: Log4j steckte als transitive Abhängigkeit in JARs und Herstellerprodukten
FixPHP aktualisieren und Worker neu startenLog4j aktualisieren (mehrere Runden: 2.15 → 2.16 → 2.17) und jede betroffene Anwendung neu bauen
Wer es behebtWer den Server betreibt: Sie, Ihr Hoster oder Cloud-AnbieterJeder Hersteller, der Log4j mitlieferte, plus alle, die diese Anwendungen betreiben
AngriffeErste Angriffe am Release-Tag gemeldet; noch keine bestätigte Kompromittierung veröffentlichtMassenhafte Ausnutzung binnen Stunden; im CISA-KEV gelistet
Datendiebstahl ohne RCEJa — über den Speicherleck-PfadIndirekt (Umgebungsvariablen über DNS-Lookups)

Gemeinsamkeiten

  • Kein Login, keine Benutzerinteraktion — nur Netzwerk-Requests.
  • Grundlegende Software, an die die meisten Betreiber nie denken; viele Systeme bleiben daher lange ungepatcht.
  • Anwendungs-Updates helfen nicht; die anfällige Schicht liegt darunter.

Unterschiede

  • Aufwand der Ausnutzung. Log4Shell war ein String zum Kopieren; PHP2Shell ist eine Speicherkorruptions-Kette, die pro Ziel angepasst werden muss. Zunächst ist mit weniger, aber fähigeren Angreifern zu rechnen — und mit breiterem Missbrauch, sobald sich zuverlässige Tools verbreiten.
  • Inventarisierung. „Welche Server laufen mit PHP, und in welcher Version?“ lässt sich in Stunden beantworten. Log4j zu finden hat Organisationen Wochen gekostet.
  • Long Tail. Den Long Tail von PHP bilden Shared-Hosting und verwaiste Server auf PHP 7.x und 8.0/8.1, die kein neues Release erhalten.

Fragen

Ist PHP2Shell so schlimm wie Log4Shell?+

Ähnliche Reichweite und derselbe schlimmste Fall (Remote Code Execution ohne Authentifizierung), aber schwerer auszunutzen: Log4Shell funktionierte mit einem String in jedem geloggten Feld, PHP2Shell-Exploits müssen auf jedes Ziel abgestimmt werden. PHP2Shell ist leichter zu inventarisieren und zu beheben, weil es in der PHP-Laufzeit liegt statt versteckt in Anwendungsabhängigkeiten.

Helfen Log4j-Fixes oder -Scanner gegen PHP2Shell?+

Nein. Die beiden haben nichts miteinander zu tun: Log4Shell steckt in einer Java-Logging-Bibliothek, PHP2Shell im PHP-Interpreter. Andere Scanner, andere Fixes.

Verwandte Seiten