PHPの脆弱性悪用は想定より遅いペースで進行、それでも数百万サイトがリスクにさらされたまま

PHPに存在する2件の重大な脆弱性への悪用の試みが急増しており、セキュリティ研究者は、数百万のWebサイトが依然としてリスクにさらされていると警告しています。 

問題の脆弱性はCVE-2026-109618とCVE-2026-109619です。攻撃者によるリモートコード実行を可能にする恐れがあり、深刻度スコアはいずれも10点満点中9.2です。 

脆弱性の公開以降、悪用の試みは急増しています。研究者は、3月に初めて確認されたMirai派生のボットネット「Potassium」による攻撃活動も突き止めました。 

Arctic Wolfは、「コマンド実行の検証と、第2段階のペイロード配布を組み合わせた」悪用の試みを観測したと明らかにしました。 

ペイロードのホスティング基盤では2つの不正なバイナリが特定されました。ただしArctic Wolfは、ダウンロードや実行が成功したことを示す十分な証拠は見つからなかったとしています。 

Sophosの研究者も、Potassiumに関連する攻撃活動を観測しましたが、攻撃はブロックできたといいます。検体を調べたところ、このボットネット亜種が更新され、「大幅に拡張」されていたことが判明したとSophosは説明しています。 

PHPの脆弱性は、水曜日に正式公開されて以降、情報セキュリティ業界に混乱をもたらしています。このスクリプト言語は、世界のWebサイトのおよそ70%を支えています。 

Wizの研究者は、これらの脆弱性はPHPでこれまでに見つかった中でも最も深刻なものの1つだと述べています。攻撃が成功した場合の影響は、2014年のHeartbleed脆弱性に匹敵するとの見方を示しました。 

しかし、その後の分析では、影響は当初懸念されたほど大きくないことが分かってきました。 

「PHP2Shellは、深刻度の高さ、広範囲に及ぶ影響の可能性、そしてAIの支援による発見という点から、すぐに強い懸念を呼びました。ただ、これまでのところ、実態は見出しほど劇的ではありません」。Arctic Wolfの敵対的オペレーション部門ディレクターであるジャスティン・ムーア（Justin Moore）氏は、Cybersecurity Diveにこう語りました。

VulnCheckの研究者は、公開されているエクスプロイトの大半は、攻撃を成功させるために必要な一連の流れを完結できていないと指摘しています。実環境ではあまり使われていない、「display errors」と呼ばれるPHPの設定を標的にしているためです。

「PHP2Shellのエクスプロイトの試行を調べましたが、これまでのところ『最良』のものは、公開されているPoCを移植したものです。それ以外は、粗悪なものか機能しないものでした」。VulnCheckのエクスプロイト開発部門ディレクターであるスペンサー・マッキンタイア（Spencer McIntyre）氏は、Cybersecurity Diveにこう述べました。