Amazonの脅威インテリジェンスチームは、PHP2Shellを悪用する試みを、脆弱性の公開より4日前の時点で検知していました。セキュリティ修正が情報解禁前の状態にあった間に、攻撃者がすでに脆弱性を試していたことになります。
最も早い試行は、AmazonのハニーポットMadPotのテレメトリーに2026年10月17日に記録されました。標的となったのは、CVE-2026-109618とCVE-2026-109619として追跡されている脆弱性で、これらは10月21日に公開されています。
この通信は、商用の匿名化ネットワークに紐づくIPアドレスから発信されていました。匿名化されたインフラ経由でハニーポットを狙っていたことから、攻撃者の活動とみられます。
ただし、攻撃者が公開前にどのようにして悪用情報を入手したのかは、調査でも明らかになっていません。
協調的開示のエンバーゴ（情報解禁）は、10月21日の14:00 UTCに終了する予定でした。Amazonは同日の早い時間帯に複数の概念実証（PoC）エクスプロイトを確認しており、最初のものは02:00 UTC頃に出現しています。公開予定時刻のおよそ12時間前です。
02:00から08:00 UTCの間にも、MadPotは別の匿名化インフラからの悪用試行を追加で記録しました。ペイロードやインフラの選び方に違いがあることから、複数の攻撃者が関与していたとみられます。
Amazonは、技術的な分析は現在も継続中だと強調しています。これらの早期の試行が、実際の本番システムの侵害に成功し得たかどうかは、研究者も確認できていません。
エンバーゴが解除され、14:00 UTCにパッチが利用可能になると、その数時間以内に追加のPoCエクスプロイトが出回りました。
攻撃者はほぼ即座に、これらをAmazonのセンサーに対して使用しました。Amazonによると、PHP2Shellは現在、実環境で広範に悪用されています。
この経緯は、協調的開示の限界を浮き彫りにしています。エンバーゴでは、独立した脆弱性の発見や悪用を防げません。防御側は、セキュリティ勧告の公開日を、侵害が起こり得る最も早い日とみなすべきではありません。
Amazonはさらに、AIを用いた解析によって、パッチの差分や技術的なセキュリティ勧告から動作するエクスプロイトを作る手間が減り得ると警告しています。ただし、現時点の調査結果では、今回の攻撃でAIが使われたことは確認されていません。
組織は、影響を受ける環境を直ちに修正済みのPHPバージョンへアップグレードする必要があります。Amazonは、2つの脆弱性を完全に解消できる対策はアップグレードだけであり、設定変更のみでは完全には対処できないとしています。
すぐにパッチを適用できない管理者は、アプリケーションの機能への影響を確認したうえで、マルチパートのファイルアップロードをブロックすることを検討してください。
ただし、この措置はアップグレードの完全な代替にはなりません。調査は、脆弱性の公開日ではなく、遅くとも10月17日から始めるべきです。
セキュリティチームは、ウェブサーバーのログを調べ、フォームアップロードに文字列PHP_SESSION_UPLOAD_PROGRESSを含む不審なPOSTリクエスト、想定外のプロセス実行、原因不明のファイル変更がないかを確認してください。
これらのアドレスには共有の匿名化インフラが含まれており、今回の攻撃キャンペーンに限ったものではありません。Amazonは、該当する観測結果を自動的にブロックするのではなく、調査することを推奨しています。
AWSによると、同社の内部の脅威インテリジェンスシステムが悪意あるスキャンを検知し、制限しました。AWSの防御は、MadPotのインテリジェンスと、毎分2,000億件超のイベントの分析を組み合わせたものです。
注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（[.]など）しています。元に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中だけで行ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/php2shell-exploits-predate-patches/
