- PHP2Shellの悪用は公表の数日前に始まっていた形跡があり、攻撃者が事前に情報を把握していた可能性
- 研究者によると、実際の被害はまだ限定的だが、公表後に悪用の試みは急増
- 数百万のPHPシステムが依然として危険にさらされており、専門家はサポート対象バージョンへの即時パッチ適用を呼びかけ
php2shellの悪用は、脆弱性が公表される4日前に始まっていたとAmazonは主張しています。広く使われているこのソフトウェアのバグについて、何者かが早くから把握していたことになります。
Amazonは独自の分析結果を公開し、攻撃が実際にはそれより数日前に始まっていたことを示しました。
Amazonはアドバイザリーで次のように述べています。「Amazon Threat Intelligenceは、MadPotのテレメトリーにおいて、2026年10月17日に遡るPHP2Shellの悪用の試みを確認しました。これは、CVE-2026-109618およびCVE-2026-109619が公表される4日前にあたります。この攻撃の試みは、商用の匿名化ネットワークに関連するIPアドレスから行われました。脆弱性が公表前の禁輸措置（エンバーゴ）下にあった間に、匿名化されたIPアドレスからハニーポットが狙われたことから、この活動は攻撃者によるものとみられます。ただし、攻撃者が公表前にどのようにして悪用情報を入手したのかは、依然として不明です」
4日前から始まっていた攻撃
パッチが公開された当日、つまり攻撃開始から4日目に、Amazon Threat Intelligenceは複数の概念実証（PoC）エクスプロイトを確認しました。ペイロードや匿名化インフラの選択がそれぞれ異なっていたため、複数の攻撃者による犯行である可能性が高いとみられます。同社は現在、これらのペイロードが実環境で成功し得たかどうかを分析しています。
PHP Foundationは数社のパートナーとともに、CVE-2026-109618とCVE-2026-109619として追跡され、「php2shell」と通称される2件の重大な脆弱性の修正に取り組んでいました。深刻度スコアはどちらも10点満点中9.2で、いずれもWebサイトの完全な乗っ取りに悪用される恐れがあります。PHPは現存するWebサイトの大多数を構築するのに使われているプログラミング言語であり、これらのバグは極めて危険でした。そのため、慎重に調整を重ねたうえでの公表とパッチ適用が求められていました。
パッチは10月21日に公開される予定で、事情を知る関係者には、公開までは詳細を明かさないよう要請されていました。ところが、禁輸措置が解除される数時間前に、セキュリティ企業のChainguardが、この脆弱性の修正を含むコンテナイメージを公開したとされています。ほぼ同じ時期に、サイバー犯罪者がphp2shellを積極的に悪用してWebサイトを狙っているとの報道が出始めました。
事態は一気に大混乱に陥りました。世界各地の政府機関、教育機関、医療機関の主要なWebサイトの多くが予防的に停止されました。PHP Foundationは管理者に対し、パッチが利用可能になり次第すぐに適用できるよう準備することを求める警告を出しました。
ASLRとは何か、なぜp2pshellにとって重要なのか
悪用の成功例がまだ多く確認されていない理由の一つは、ASLRにあるようです。ASLRは「Address Space Layout Randomization（アドレス空間配置のランダム化）」の略で、プログラムの実行のたびに、コードやデータがメモリ上に配置される位置をランダムに変更するセキュリティ機能です。これは、Pluto Securityのセキュリティ研究ディレクターであるYotam Perkal氏の見解です。
Perkal氏は次のように述べています。「PHP2Shellの悪用は容易ではなさそうです。悪用の成功例をまだ見かけない理由の一つは、確実にコードを実行するには、コードがメモリ上のどこにあるかをランダム化するメモリ保護機能であるASLRを突破する必要があるからだと考えています。これをリモートから行うのは困難です。出回っている公開PoCの多くは（その多くはバイブコーディングで作られたものです）、実際のシステムでは確実には動作しません」
「ただし、この状況が続くとは思わないほうがよいでしょう。エクスプロイトは今後改良されますし、世の中のPHPサーバーの大半は依然としてパッチが未適用です。各チームは今すぐパッチを適用し、PHPワーカーを再起動すべきです。とはいえ、公開前後の騒動の大きさに比べれば、実際の悪用は今のところかなり限定的に見えます」
一方、Cloudflareは、脆弱性の公表から数時間のうちに仕掛けられた攻撃の数は驚異的で、前例のない速さで増え続けていると述べています。同社のCEOであるMatthew Prince氏はX上の投稿で、パッチの発表前の10時間に数千件の悪用の試みを確認したと明らかにしました。その数は、公表から1時間以内に数万件、2時間以内に数十万件へと増加し、現在では数百万件に達しているということです。
さらに厄介なことに、攻撃者ごとに脆弱性へのアプローチが異なり、状況に応じて手口を変えています。Cloudflareによると、一部の攻撃者はブロックされたリクエストからのフィードバックをもとにペイロードを修正していました。いずれもWebアプリケーションファイアウォール（WAF）を回避する手段を見つけるためです。
