今週、大きな注目を集めているPHPの2件の脆弱性について、専門家が追跡するデータは評価が割れています。
複数の大手企業が、悪用の試みが爆発的に増えていると報告しています。一方、Recorded Future Newsの取材に応じた数十人の専門家は、成功した試みは一つもないと口をそろえました。出回っている概念実証（PoC）コードの大半は、理想的な実験室環境でしか動作しないといいます。そのため、金曜日の時点では大規模な悪用は起こりにくいとの見方です。
木曜日には、Amazonの専門家が報告を公表し、話題になりました。CVE-2026-109618とCVE-2026-109619（通称「PHP2Shell」）の存在が明らかになる数日前の10月17日から、悪用の試みを示す痕跡を確認していたというのです。
Sophosは悪用に成功した事例を報告しましたが、その後撤回しました。木曜夜には、確認できたのは「失敗に終わった少数の悪用の試み」だけだったと説明しています。
Googleのジョン・ハルトクイスト氏は、自身のチームが実環境での悪用を確認できておらず、大規模な悪用が成功した証拠もないと述べました。ただし「限定的な形で悪用がすでに始まっている可能性があり、この脅威は現実的で非常に深刻だ」とも指摘しています。
Arctic Wolfは、観測した悪用の試みがPotassiumボットネットに関連していたと説明しました。Cobaltの研究者は、Miraiボットネットに結びつく試みを確認したといいます。ほかの専門家も同様に、デバイスをマルウェアに感染させ、分散型サービス拒否（DDoS）攻撃用ネットワークのボットに仕立てようとする悪用の試みを報告しています。
VulnCheckでエクスプロイト開発を統括するスペンサー・マッキンタイア氏によると、同社も悪用の試みを直接確認しました。ただし、その多くは「ガラクタで、機能しない」PoCを使ったものだと指摘しています。
同氏は、SNSで出回っている現行のPoCは、開発者や研究者の環境、あるいは実際のPHPの一般的な構成とは異なる本番アプリでしか動作しないと述べました。
複数のインシデント対応担当者は、攻撃者がアドレス空間配置のランダム化（ASLR）に阻まれていると話しています。マッキンタイア氏によれば、ASLRはメモリ破壊のバグを悪用しにくくするために設計された防御機構です。
「脆弱性の存在を実証することと、実環境のセキュリティ保護を突破できるエクスプロイトを開発することの間には、大きな隔たりがあります」と同氏は語りました。
マッキンタイア氏によると、同氏のチームはASLRを回避する新たな手法を開発しました。しかし、同じことを実現する公開または商用のエクスプロイトは、ほかに確認されていないといいます。
「この能力の開発は決して簡単ではありませんでした。それでも、本番構成のシステムでPHP2Shellを悪用する際の大きな障壁を、乗り越えられることを示しています」と、同氏は付け加えました。
マッキンタイア氏ら専門家は、ASLRがこれらのバグの悪用を阻む恒久的な障壁ではないと警告しています。脆弱なシステムにはパッチを適用するよう、各組織に強く促しました。
「悪用」の意味するもの
Expelのサイバーセキュリティ専門家として知られるマーカス・ハッチンズ氏は、信頼性の高いエクスプロイトの開発が難しいため、防御側には多少の猶予が生まれるかもしれないと述べました。ただし、攻撃者が実用的な手法を編み出すまでにどれだけかかるかは予測できないといいます。
同氏は複数のSNS投稿とRecorded Future Newsへのコメントで、各社が報告する「悪用」には2通りの解釈があると主張しました。
一方は、高度で、おそらく国家の支援を受けた攻撃者が標的型の悪用を行っているという報告です。もう一方は、実験室向けで動作しないPoCを使った大規模な悪用の試みを、単に記録しているだけの報告です。
「後者のほうが、私自身が見てきた証拠と一致します」とハッチンズ氏は述べました。
同氏は、ASLRは悪用に成功するうえで「大きな障壁」ではないものの、大規模な悪用の試みは妨げていると付け加えています。
「私が見た限り、大規模な悪用に成功したという報告は現時点でありません。私自身も、大規模な悪用を確認していません。ただ、脆弱なシステムを遠隔から特定できるスキャナーが作られたため、インターネット全体を対象としたスキャンが数多く続いています」とハッチンズ氏は説明しました。「つまり、完全に武器化されたエクスプロイトが登場すれば、複数の攻撃者がすでに、外部からアクセス可能でパッチ未適用のシステムを集めた標的リストを手にしていて、すぐに攻撃へ移れる可能性が高いということです」
CensysはPHP2Shellのダッシュボードを公開しました。それによると、10月22日時点で、影響を受けるバージョンのPHPサービスがインターネットに公開されている数は4100万件を超えています。修正版で稼働しているのは約100万件です。
CobaltのCISO、アンドリュー・オバディアル氏は、侵害の確認例がないのはPHP2Shellの武器化がいかに難しいかを示していると述べました。一方で、VulnCheckが報告したエクスプロイトを挙げ、この困難は長くは続かないと主張しています。
「攻撃者は公然とツールを洗練させています。防御側はこの静かな期間を、借り物の時間と考えるべきです」と同氏は述べ、攻撃者がサーバーのフィンガープリントを取得し、エクスプロイトが必要とする正確な構成を探していると警告しました。
「実用的な手法が専門家向けのツールからボットネットの攻撃手順書に移れば、防御側が追いつくために残される時間は、数週間ではなく数日になるでしょう」
翻訳元: https://therecord.media/php-php2shell-exploitation-attempts-pocs
