cyber-crime
Cloudflareは数百万件のエクスプロイト試行を確認したと報告しています。一方Amazonは、パッチ公開の4日前に攻撃者が試行を始めていたことを検知しました
攻撃者が、重大なPHP2Shell脆弱性を悪用しようと、サーバーに数百万件の試行を浴びせています。Amazonによると、これらの脆弱性が公に開示される4日前に、すでに何者かが攻撃を仕掛けていました。
Cloudflareは、CVE-2026-109618とCVE-2026-109619として追跡されている2件の脆弱性を狙う攻撃が、今週初めに詳細が出回り始めて以降、驚異的な規模で増加していると述べています。
CloudflareのMatthew Prince CEOによると、同社は脆弱性が公表される前の10時間で、すでに数千件のエクスプロイト試行を確認していました。この数字は開示から45分以内に数万件、2時間以内に数十万件へと跳ね上がり、その後は数百万件に達しています。
しかも、攻撃者は同じエクスプロイトを使い回しているだけではありません。Cloudflareによると、攻撃者はWAF（Webアプリケーションファイアウォール）の防御をすり抜けようとペイロードを調整していました。ブロックされたリクエストからのフィードバックを利用して、通過できる手法を探っているとみられます。
セキュリティ企業のHadrianも10月21日に警鐘を鳴らし、PHP2Shellが「大規模に実環境で悪用されている」と報告しました。
同社は次のように警告しています。「私たちが観測している攻撃の大半は、PHPのセッションアップロード進捗パスを悪用しています。修正版の公開前後を問わず、さらに多くのエクスプロイト経路が現れるとみています」
さらに懸念されるのは、脆弱性が公になる前から攻撃を始めていた者がいるとみられることです。
Amazon Threat Intelligenceは、パッチ公開の4日前にあたる10月17日に、PHP2Shellを悪用する試行を検知したと明らかにしました。この活動を捉えたのは、攻撃者をおびき寄せて行動を記録するためにAmazonが運用するハニーポットのネットワーク「MadPot」です。
Amazonは次のように説明しています。「脆弱性が非公開（エンバーゴ）の状態にあった間に、匿名化されたIPアドレスからハニーポットが狙われました。これは脅威アクターによる活動であることを示唆しています。ただし、このアクターが開示前にどうやってエクスプロイトの情報を入手したのかは、依然として不明です」
このEC・クラウド大手によると、10月21日には複数の概念実証（PoC）エクスプロイトを検知しました。最も早いものは協定世界時（UTC）の午前2時ごろに現れ、パッチ公開の約12時間前でした。その後の6時間には、異なる匿名化インフラから、さまざまなペイロードを使った試行がさらに続いたといいます。Amazonは、単一のグループではなく複数の攻撃者が動いている可能性が高いとみています。
これらの試行が実環境のシステムに対して通用したかどうかは、まだ分かっていません。
今回の発見は、すでに混乱している情報開示の経緯にさらなる問題を加えるものです。 The Registerが水曜日に報じたように、PHP Foundationは、サプライチェーンセキュリティ企業のChainguardが、合意された開示期限より前にパッチ適用済みのPHPビルドを公開し、Webサイトを危険にさらしたと非難しています。
しかし、Amazonが10月17日に検知した攻撃は、少なくとも1人のサイバー犯罪者がその件より数日前から、すでにこれらのバグの悪用を試みていたことを示唆しています。
脆弱性そのものも極めて悪質です。2件ともCVSS深刻度は9.2の「クリティカル」で、PHPのメモリ処理に影響します。認証されていない攻撃者が、脆弱なサーバー上で悪意あるコードを実行できるおそれがあります。
個別のプラグインやアプリケーションの欠陥とは異なり、これらのバグはPHPランタイム自体に影響します。そのため、どのコンテンツ管理システムを使っているかにかかわらず、膨大な数のWebサイトが危険にさらされる可能性があります。
Cloudflareは、無料プランと有料プランの両方でWAFによる防御を展開したと説明しています。ただし、これはパッチ適用の代わりにはならないと強調しています。
修正版が出る前から攻撃者が試行していたことを踏まえると、管理者はパッチ適用の遅れだけを心配していればよいわけではありません。Amazonは、脆弱性が公になるまでシステムは安全だったと決めつけず、少なくとも10月17日までさかのぼって不審な活動を調査するよう、各組織に勧めています。®
