Vergelijking
PHP2Shell vs Log4Shell
Beide zijn remote code execution zonder authenticatie in software die onder een enorm deel van het internet zit. De grote verschillen: Log4Shell was triviaal te misbruiken en moeilijk te vinden; PHP2Shell is moeilijker te misbruiken en makkelijker te vinden.
Laatst gecontroleerd 2026-10-22
| PHP2Shell | Log4Shell | |
|---|---|---|
| Wat het is | Twee geheugenveiligheidsbugs in de PHP-interpreter | JNDI-lookup-injectie in de Java-logbibliotheek Log4j 2 |
| CVE | CVE-2026-109618, CVE-2026-109619 | CVE-2021-44228 (plus vervolg-CVE’s) |
| Bekendgemaakt | 21 okt 2026 (gelekt op 20 okt) | 9 dec 2021 (exploit dezelfde dag openbaar) |
| Score | CVSS 4.0 9.2 | CVSS 3.1 10.0 |
| Authenticatie | Geen | Geen |
| Hoe moeilijk te misbruiken | Moeilijker: gemanipuleerde multipart-requests, via herhaalde pogingen afgestemd op de geheugenindeling van elk doelwit | Triviaal: één string zoals ${jndi:ldap://…} overal waar gelogd wordt |
| Bereik | Elke site op een kwetsbare PHP — een groot deel van het web | Elke Java-app die input van aanvallers logt met Log4j 2.0–2.14.1 — servers, appliances, games |
| Getroffen systemen vinden | Vrij makkelijk: het is de PHP-runtime; controleer de versie per server of container | Moeilijk: Log4j zat verstopt als transitieve dependency in JAR’s en producten van leveranciers |
| Oplossing | PHP bijwerken en workers herstarten | Log4j upgraden (meerdere rondes: 2.15 → 2.16 → 2.17) en elke getroffen app opnieuw bouwen |
| Wie het oplost | Wie de server beheert: jij, je host of cloudprovider | Elke leverancier die Log4j meeleverde, plus iedereen die die apps draait |
| Aanvallen | Eerste aanvallen gemeld op de releasedag; nog geen bevestigde inbraak gepubliceerd | Massaal misbruik binnen enkele uren; opgenomen in CISA KEV |
| Datadiefstal zonder RCE | Ja — via het geheugenlekpad | Indirect (omgevingsvariabelen via DNS-lookups) |
Waarin ze op elkaar lijken
- Geen login, geen gebruikersinteractie — alleen netwerkrequests.
- Fundamentele software waar de meeste eigenaren nooit aan denken, dus veel systemen blijven lang ongepatcht.
- Applicatie-updates helpen niet; de kwetsbare laag zit eronder.
Waarin ze verschillen
- Moeite voor misbruik. Log4Shell was een string om te kopiëren; PHP2Shell is een keten van geheugencorruptie die per doelwit moet worden aangepast. Reken eerst op minder, maar capabelere aanvallers — en op breder misbruik zodra betrouwbare tools zich verspreiden.
- Inventarisatie. “Welke servers draaien PHP, en welke versie?” is binnen uren te beantwoorden. Organisaties deden er weken over om Log4j te vinden.
- Lange staart. De lange staart van PHP bestaat uit shared hosting en verlaten servers op PHP 7.x en 8.0/8.1, die geen nieuwe release krijgen.
Vragen
Is PHP2Shell net zo erg als Log4Shell?+
Vergelijkbaar bereik en hetzelfde ergste scenario (remote code execution zonder authenticatie), maar moeilijker te misbruiken: Log4Shell werkte met één string in elk gelogd veld, terwijl PHP2Shell-exploits per doelwit moeten worden afgestemd. PHP2Shell is makkelijker te inventariseren en op te lossen, omdat het in de PHP-runtime zit en niet verstopt in applicatie-dependencies.
Helpen Log4j-fixes of -scanners tegen PHP2Shell?+
Nee. Ze hebben niets met elkaar te maken: Log4Shell zit in een Java-logbibliotheek, PHP2Shell in de PHP-interpreter. Andere scanners, andere oplossingen.
Gerelateerd
- Wat is PHP2Shell?Wat PHP is, wat remote code execution betekent, waarom PHP2Shell ernstig is en wat website-eigenaren en SaaS-klanten echt moeten doen — zonder jargon.
- CVSS 9.2 vs 10.0Waarom PHP2Shell eerst CVSS 10.0 kreeg en officieel 9.2 scoort. Lees wat de CVSS 4.0-vector betekent en wat de score zegt over je risico.
- TijdlijnDe PHP2Shell-tijdlijn: van de audit in 2024 tot de release op 21 oktober 2026, met UTC-tijden, vroege lekken en de reactie van de PHP Foundation.