Amazon Threat Intelligenceのセキュリティ研究者は、PHP2Shellの脆弱性を狙った攻撃が、水曜日にセキュリティパッチが公開される4日前から始まっていたと明らかにしました。
この2つの重大な脆弱性は、CVE-2026-109618とCVE-2026-109619として追跡されており、攻撃者は脆弱なシステム上でリモートコード実行（RCE）を行えます。PHPのセキュリティチームは10月21日にこれらを修正しました。その前日には、管理者に対して、更新プログラムが公開され次第すぐに適用できるよう準備を促していました。
PHPコア開発者のGina Peter Banyard氏は、情報公開前に警告を発し、公式のセキュリティパッチを適用することが唯一の恒久的な防御策だと強調しました。英国国家サイバーセキュリティセンター（NCSC）も英国の組織に対し、PHPサーバーを直ちに更新するか、パッチを適用できるまでオフラインにするよう求めています。
PHPチームによると、協調的な情報公開の2日前までは、すべて計画どおりに進んでいました。ところがPHP2Shellの脆弱性に関する詳細（2つのCVE IDや、一部の重要インフラ事業者に提供した緩和策の助言を含む）がオンラインで漏えいしたため、公開の目標日を10月20日に前倒しせざるを得なかったということです。
パッチ公開前には、いくつかの概念実証（PoC）コードも公開されました。ただしPHPのセキュリティチームは、いずれも機能しなかったとしています。
Amazon Threat Intelligenceの報告は、複数のサイバーセキュリティ企業が、公開前に失敗に終わった悪用の試みを検知したと発表した後に出されました。検知を報告したのは、Cloudflare、watchTowr、Previdian、Hadrian、Patchstackなどです。
「実環境で広く悪用されている」
Amazonによると、最初の悪用の試みは10月17日土曜日（PHP2Shellのパッチ公開の4日前）に始まりました。さらに情報公開の数時間後には、攻撃者がVPNのIPアドレスから、複数のPHP2Shell用PoCエクスプロイトを展開したということです。
AWSの最高情報セキュリティ責任者（CISO）であるCJ Moses氏は、次のように述べています。
「この攻撃の試みは、商用の匿名化ネットワークに紐づくIPアドレスから行われました。この脆弱性は公開禁止期間（エンバーゴ）中でしたが、匿名化されたIPアドレスからハニーポットが狙われたことから、脅威アクターによる活動だったと考えられます。ただし、攻撃者が公開前にどのようにしてエクスプロイトの情報を入手したのかは不明です」
「実際のペイロードや、利用された匿名化インフラの選択はさまざまでした。このことから、複数の攻撃者が関与していたとみられます。技術的な分析は現在も続いており、これらの試みが実際のシステムで成功し得たかどうかも分かっていません」
Moses氏はさらに、PHP2Shellの脆弱性が「現在、実環境で広く悪用されている」と指摘しました。そのうえで「防御側は、公開日が最も早い悪用日だと思い込むべきではありません」と警告しています。
PHP（Hypertext Preprocessor）はオープンソースのWeb開発言語で、インターネット上の全Webサイトの最大80%を支えています。WordPress、Drupal、Joomlaといった主要なコンテンツ管理システム（CMS）を使うサイトも含まれます。
VirusTotalは現在、インターネット上に公開されたPHPホストを510万台以上追跡しています。このうち約380万台は、攻撃を受けかねないポートを少なくとも1つ開放しています。
