PHP2Shell攻撃、探索から「実際のシェル奪取」へ

攻撃者がPHP2Shellの脆弱性を悪用し、ハニーポットサーバー上でシェルコマンドの実行に成功しました。研究者が週末に報告しました。

CVE-2026-109618とCVE-2026-109619として追跡されている重大なPHP2Shellの脆弱性は、認証なしでリモートコード実行を可能にします。一部の情報がオンライン上に流出した後、PHPは10月21日にこれらを修正しました。

悪用の試みは修正版の公開前から始まり、その後は数百万件が記録されています。ただ、セキュリティ企業はコード実行の成功を確認していませんでした。一方で、研究者らはASLR保護を回避できるエクスプロイトをすでに開発していました。

Perplexityの研究者Adel Karimi氏は、通常のPHPベースのページを公開するハニーポットを運用しています。環境はApacheのmod_php上でPHP 8.4.26を単一ワーカーで動かすものです。約26時間分の活動をまとめた最初の報告では、メモリ不足エラーが30件、ワーカーのクラッシュが11件記録されたものの、コード実行は確認されませんでした。

状況が変わったのは10月24日です。Karimi氏のセンサーは、3台のハニーポットで35個のシェルが起動されたことを記録しました。あるIPアドレスは1台のハニーポットで3個のシェルを生成し、別のIPアドレスは3台すべてで計32個のシェルを生成しています。

攻撃者は4段階のHTTPリクエストを連鎖させていました。PHPのメモリを枯渇させるリクエストや、メモリの内容を漏えいさせるリクエストがあり、最後のリクエストでシェルコマンドを実行します。通信は公開済みの概念実証（PoC）エクスプロイトとほぼ一致しており、Karimi氏は、CVE-2026-109618の悪用と整合する活動だと説明しています。

同氏はXに「これは、単にクラッシュの後で不審なプロセスが現れたというものではなく、利用可能なメモリ開示を伴うRCEが確認されたということだ」と投稿しました。

2段階目のペイロードのダウンロードは確認されていません。

Karimi氏は、結果を過大に解釈しないよう注意を促しています。「今回の証拠が示すのは、意図的に条件を有利にした単一ワーカーのmod_php構成での攻撃チェーンです。ほかのワーカー数やPHPビルド、アプリケーションにおけるエクスプロイトの信頼性を測定したものではありません」と述べています。

Expelの主任脅威研究者Marcus Hutchins氏は、今回の発見を「これまで見たPHP2Shellの実環境での悪用確認としては、群を抜いて質の高いものだ」と評しました。

CISAは10月23日にPHP2Shellに関する注意喚起を更新し、Sigma検知ルールを追加しました。その際、悪用の成功は確認していないとしていました。10月26日朝の時点で、CISAはこれらの脆弱性を既知の悪用された脆弱性（KEV）カタログに追加していません。