ハッカーが、公開されているPHP2Shellのエクスプロイトツールを使ってWebサイトをスキャンし、脆弱なPHPサーバーに対する自動攻撃を仕掛けています。
研究者は、標的の情報を収集し、アップロード処理をテストして、細工したHTTPリクエストでリモートコマンド実行を試みるスクリプトを確認しました。
この動きは、公開された脆弱性がいかに素早く大規模攻撃の道具になり得るかを示しています。PHP2Shellは、PHPエンジンに存在する2件の重大な脆弱性、CVE-2026-109618とCVE-2026-109619を対象としています。
いずれも安全でないメモリ処理に起因し、攻撃者はログインなしでコードを実行できる可能性があります。予定されていた公表より前に詳細が流出したため、PHPは2026年10月21日に修正版をリリースしました。
これらの欠陥は、特定のWebサイト用プラグインやフレームワークではなく、PHPランタイム自体に存在します。そのため、WordPressやLaravel、アプリケーションコードを更新するだけでは、根本的なリスクは解消されません。管理者は、Webサイトを動かしているPHP本体に対処する必要があります。
Hunt.ioは、PHP2Shellのスキャナー、プローブ、攻撃スクリプトを含む公開ディレクトリを特定しました。調査では、該当するファイルが146件見つかっています。この中には、脆弱性に関連するアップロード進捗機能を参照するツールも含まれていました。
これらのファイルからは、攻撃者が探索と攻撃の各段階を別々に用意し、自動化されたワークフローに組み上げている様子がうかがえます。
あるサーバー（206.188.197[.]105）には、クラウドプロバイダー、共有ホスティング基盤、インターネットサービスプロバイダーにまたがる123台のサーバーへの攻撃に関連するツールが置かれていました。
標的のうち約57台はPHPを稼働させており、その多くがサポート対象外のリリースを使用していました。ただしHunt.ioによると、観測された活動では、これらの標的に攻撃が成功した例はありませんでした。
続いてアップロード用プローブが、PHP_SESSION_UPLOAD_PROGRESSフィールドを含むマルチパートリクエストを送信し、セッション追跡が有効であることを示す兆候がないか、応答を調べます。こうした応答は攻撃可能な箇所が存在する可能性を示すものであり、攻撃の成功を証明するものではありません。
漏えいしたアドレスは、メモリ上の位置を予測しにくくする防御機構であるアドレス空間配置のランダム化（ASLR）の回避に利用されました。
これらの脆弱性は、ソフトウェアがメモリを解放した後も使い続けるUse After Freeに分類されます。うち1件は、メモリ不足エラーの後でクリーンアップに失敗することが原因です。セッションのアップロード追跡機能は、脆弱なリクエスト処理コードへ到達できることが確認されている経路です。
PHPはWebサイトのコードが動作する前にアップロードデータを処理します。そのため、アプリケーション側の認証や入力チェックでは、根本のバグを確実に防げません。
ただしakatsukilegionによると、エッジでのフィルタリングは既知の攻撃パターンをブロックできます。管理者はパッチを適用する間も、この機能を有効にしておくべきです。akatsukilegionはこう指摘しています。
管理者は、PHP 8.2.35、8.3.36、8.4.27、8.5.12のいずれか、または使用中のブランチに対応する、より新しい修正版をインストールし、PHPワーカーを再起動してください。サポート対象外の環境では、サポートされるバージョンへのアップグレードか、検証済みのベンダー製バックポートが必要です。tenable+1
1万6,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。自社チームで試す
翻訳元: https://cyberpress.org/php2shell-exploits-target-websites/
