サイバー犯罪
重大なPHPの脆弱性2件がいずれもCISAの悪用確認済みリストに追加されました。セキュリティ専門家は、攻撃者が実際にシェルを奪取していることを確認しています
米国政府のサイバーセキュリティ機関であるCISAは、攻撃者がPHP2Shellの2件の重大な脆弱性をいずれも悪用していることを確認しました。この脆弱性は過去1週間、Web全体に大きな混乱をもたらしています。CISAは連邦機関に対し、3日以内に修正するよう求めています。
CISAは月曜日、CVE-2026-109618とCVE-2026-109619を悪用が確認された脆弱性（KEV）カタログに追加しました。連邦文民機関に対する対応期限は10月29日です。先週の時点では、CISAはPHP2Shellの危険性に警鐘を鳴らしつつも、実環境での悪用成功はまだ確認していないと説明していました。今回の措置は、その姿勢からの転換を意味します。
2件はいずれもCVSSスコアが9.2で、認証なしで脆弱なPHPサーバー上でコードを実行できます。Webの多くが今もPHPに依存していることを考えると、深刻な事態です。どれだけ多くのサイトが危険にさらされているかも見通せません。
修正パッチは10月21日に公開されましたが、攻撃者は開発側より先に動いていました。AWSは、早くも10月17日に脆弱性を狙った攻撃の試みを検知していました。脆弱性が公表される4日前のことです。
CISAの確認の背景には、攻撃者が単に入り口を探るだけにとどまっていることを示す証拠が増えている事情があります。
10月24日、Perplexityのセキュリティ研究者であるAdel Karimi氏は、Apache mod_php上でPHP 8.4.26を動かす3台のハニーポットで、 35件のシェル実行の成功を記録しました。攻撃は2つのIPアドレスから行われ、メモリ枯渇と情報漏えいを組み合わせてリモートコード実行を達成していました。
攻撃者はその後、PHP、curl、wgetを使って外部サーバーへの接続を試みましたが、追加のマルウェアのダウンロードには成功しませんでした。Karimi氏の分析結果はCVE-2026-109618の悪用と一致しており、2つ目のPHP2Shell脆弱性が関与した証拠は見つかっていません。同氏は、ハニーポットが攻撃に有利なシングルワーカー構成だった点も指摘しています。そのため、本番サーバーに対するエクスプロイトの成功率をそのまま反映しているとは限りません。
それでも、攻撃者は本腰を入れて攻撃を仕掛けているようです。デルフト大学の脅威インテリジェンスラボは、70カ国・600超のIPアドレスから、5万件以上のPHP2Shell攻撃リクエストを追跡しました。このうち171のアドレスは、脆弱なサーバーの探索にとどまらず、エクスプロイトコードやマルウェアのドロッパーの送信にまで踏み込んでいました。
CISAの確認は、PHP2Shell攻撃の成功を伝えた初期の報告の一部が、結果的に時期尚早だったことが明らかになった後に出されました。Sophosは、観測した活動がスキャンと失敗に終わった試行にすぎないと判断し、当初の評価を撤回しました。Palo Alto Networksも、この脆弱性を欧州の政府機関への侵入と結びつけた主張を取り下げています。
CISAは、どの組織が侵害されたのかを明らかにしていません。KEV追加の判断につながった攻撃の詳細も示していません。今回の登録は、CISAが2件の脆弱性をいずれも実際に悪用されていると見なしていることを示すものですが、本番環境で何件のシステムが侵害に至ったのかは確認していません。
連邦機関にとっては、すでにカウントダウンが始まっています。CISAは連邦政府以外の組織にも修正を優先するよう促していますが、対応期限は適用されません。
管理者は、利用中のリリースブランチに応じて、PHP 8.5.12、8.4.27、8.3.36、8.2.35のいずれかに更新してください。サポートが終了した古いバージョンを使っている場合は、アップグレードするか、ベンダー提供の修正を入手する手間がさらにかかります。保護できないシステムは、リスクが解消されるまでオフラインにすべきです。
CISAが悪用を公式に認めた以上、追加の証拠を待ってパッチ適用を先送りしている組織は、対応が遅すぎることになりかねません。®
