PHPが PHP2Shell 脆弱性の緊急修正を公開してから2日。攻撃者はこの欠陥を悪用してMiraiボットネットの拡散を試みています。一方、あるセキュリティ企業は重要なメモリ保護機構を突破するエクスプロイトを開発しました。さらに、攻撃者のサーバが公開状態になっていたことから、独自のツール群も明らかになっています。
それでも、実環境（In the wild）での侵害成功はこれまでのところ確認されていません。
この脅威を受け、予防措置としてシステムをオフラインにする組織が相次いでいます。10月21日には、欧州の複数の政府機関、学校、病院のWebサイトが停止しました。英国政府は、サービス32件が利用不能、4件が一部利用不能になったと発表しました。その大半は、パッチ適用中の予防措置によるものだとしています。
PHP2Shellは、CVE-2026-109618とCVE-2026-109619の2件につけられた呼称です。いずれもPHPエンジンに存在する深刻な脆弱性で、認証なしのリモートコード実行（RCE）に悪用される恐れがあります。CVSS v4.0のスコアはどちらも9.2です。
これらの問題は8月にWiz、OpenAI、Califが発見しました。CVE番号がオンラインで流出したことを受け、PHPは予定より1日早い10月21日に、バージョン8.5.12、8.4.27、8.3.36、8.2.35で修正しました。
Amazonは10月17日に最初の悪用の試みを確認しており、修正版の公開後は攻撃活動が急増しました。その後、ベンダーやセキュリティ企業、政府機関が、アドバイザリや検知ルール、パッチ適用の指針を公表しています。
悪用の試みにMiraiボットネットが関与
Sophosによると、攻撃者はPHP2Shellを使って「Potassium」をインストールしようとしました。同社は、PotassiumをMiraiボットネットの亜種とみています。同社が分析した攻撃は阻止されたため、マルウェアが標的システムに到達することはありませんでした。
Sophosは、このサンプルを2026年初めに確認されたMirai派生種の更新版で、機能が追加されたものだと説明しています。追加のマルウェアをダウンロードしたり、DDoS攻撃を仕掛けたりすることが可能です。
今回の分析は、同社が以前に公表した更新情報を訂正するものです。以前の情報では、悪用に成功したと報告していました。
Arctic Wolfは、PHP2Shellのペイロードをホストするサーバと、2つのPotassiumバイナリとの関連を指摘しました。ただし、同社のデータでは、PHP2Shellのリクエストがマルウェアを取得・実行した形跡はないといいます。
Hunt.ioは、観測したPHP2Shellの通信が、2026年5月から活動している既存のMirai型ボットネットによるものだと結論づけました。このボットネットは最近、拡散手段に今回の脆弱性を加えたとみられます。
Sophosは、攻撃者もこれらの脆弱性の扱いに苦戦しているとみています。「実環境での悪用成功例がないことは、攻撃者も苦労していることを示唆している」と述べています。同社の敵対的リサーチチームも、AIの支援を受けても、動作するエクスプロイトの作成は難しいと判断しています。
試みはあるが、侵害は未確認
他社も同様の見方です。Hunt.ioは、悪用の試みや攻撃者によるツールの準備は確認したものの、侵害の確証は得ていないとしています。侵害を報告したベンダーも今のところありません。Wordfenceも、攻撃は続いているものの、侵害は確認されていないと伝えています。
Sansecは、パッチ公開から15分以内に大規模な悪用が始まると予測していましたが、見解を修正しました。10月22日の更新で、攻撃を成功させるにはサーバに関する詳細な知識と特定の条件が必要だと説明しています。また、公開されているエクスプロイトは、デフォルト設定のPHP環境では機能しないとしています。
本番構成でASLRを突破するエクスプロイト
研究者らは、コード実行を達成する上での大きな障壁として、メモリ上のコードやデータの配置をランダム化するアドレス空間配置のランダム化（ASLR）を挙げていました。VulnCheckは、これを回避する方法を見つけたとしています。
同社のCVE-2026-109618向けエクスプロイトは、メモリリークを利用します。ASLRが有効で、PHPのエラー表示をオフにした x86-64 システムでコード実行に至ります。これは、本番環境で推奨される構成です。このエクスプロイトは、VulnCheckのInitial Access Intelligence顧客に提供されています。
VulnCheckは「本番構成のPHPで複数バージョンにまたがりRCEを達成する公開または商用のエクスプロイトは、ほかに把握していない。ただし、攻撃者が段階的に高度な攻撃を開発するにつれ、状況は変わるとみている」と述べています。
同社はまた、GitHubには数百ものPoCリポジトリが登場しているものの、実際に有効なエクスプロイトを含むものはごくわずかだと指摘しました。
SOCRadarは、同様の目的を追う攻撃者を突き止めました。攻撃者が管理するサーバで、作業用ファイルが誰でも閲覧できる状態になっており、そこからPHP2Shellのツール群を発見したのです。
ファイルには、Apache mod_php上のPHP 8.4.26を狙うエクスプロイトチェーンが含まれていました。運営者はラボで検証し、「ワンクリック」型のエクスプロイトとうたっていました。付属のスクリプトは、実在するWebサイトがエクスプロイトに必要な構成かどうかを確認するものでした。
この構成は一般的ではありません。SOCRadarによると、このチェーンが機能するのは、堅牢化された本番環境ではなく、テスト用システムに近い設定のサーバに限られます。
運営者は、米国、英国、カナダ、フランス、フィンランド、ポーランド、中国などの約20のWebサイトをフィンガープリンティングし、うち11サイトをさらに詳しく調べました。しかし、エクスプロイトの要件を満たすサイトはありませんでした。
SOCRadarは「運営者のエクスプロイト開発能力は高い。しかし、2026年10月22日時点で、調査対象のサイトでシェルアクセスが得られた形跡は確認されていない」としています。
Hunt.ioもこのサーバを分析しました。運営者は10回の攻撃ラウンドを実施し、標的リストをクラウド事業者、共有ホスティング事業者、ISPがホストする123台のサーバに拡大していました。このうち約57台がPHPを実行しており、10台はリクエストを拒否しました。悪用に成功したサーバはありませんでした。
遅れるパッチ適用
Qualysは、顧客1万2000社の匿名化データを分析しました。それによると、脆弱性の公表から12時間以内にパッチが適用されたPHPインスタンスは、わずか19万9000件でした。
同社によれば、約1億1000万件（71%）のインスタンスは、サポートが終了したPHP 5.4～8.1を使用しており、その大半にベンダーのパッチが提供されることはありません。さらに4400万件のインスタンスは、修正版が存在するサポート対象ブランチを使用しているものの、未適用のままです。
CISAは、10月23日朝の時点で、いずれの脆弱性も悪用が確認された脆弱性（KEV）カタログに追加していません。
Censysは、公開ダッシュボードでPHP2Shellに対するパッチ適用の進捗をリアルタイムで追跡しています。インターネットに公開されたPHPサービスのうち、脆弱なバージョンを使い続けているものの数を確認できます。
