CISA、セキュリティ研究者がPHPの脆弱性悪用の成功を確認

セキュリティ研究者と米政府当局は、PHPの重大な脆弱性を悪用した攻撃が初めて成功したとみられる事例を確認しました。

1週間以上にわたり、攻撃者はメモリ破損の脆弱性「CVE-2026-109618、」と、内部のリクエスト状態が古いまま残る脆弱性「CVE-2026-109619」の悪用を試みてきました。 

これらの脆弱性の悪用成功を最初に突き止めたのは、Perplexityの研究者です。同社によると、ハニーポットのセンサーが不審な活動を検知し、攻撃者がリモートコード実行（RCE）に成功していたといいます。

PerplexityのDetection and Responseリードを務めるAdel Karimi氏は、「単にクラッシュが起きた後に不審なプロセスが現れたというだけではなく、利用可能なメモリ開示を伴うRCEが確定しました」と、X上の投稿で述べました。 

Expelのプリンシパル脅威研究者であるMarcus Hutchins氏もKarimi氏の調査結果を裏付けました。先週に危機が始まって以来、見てきたPHP悪用の確認事例の中で「最も質の高いもの」だと評価したことが、X上の投稿で分かります。 

Hutchins氏は、「PHP 8.4.26を実行するApache mod_php環境」を狙った攻撃成功例の技術的な内訳を引用しました。

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は月曜日、この2件の脆弱性を「悪用が確認された脆弱性カタログ（KEV）」に追加しました。カタログを更新するきっかけとなった具体的な事実は明らかにしていませんが、同庁の担当者は、実際に悪用されている場合の基準に該当すると説明しました。 

PHPの脆弱性は、サイバーセキュリティ業界全体に警戒を呼びかけました。このスクリプト言語は、世界のウェブサイトの約70%を支えています。  

セキュリティ研究コミュニティは、これまでの悪用報告を裏付けるよう求められてきました。VulnCheckの研究者は、広く出回った概念実証（PoC）コードの質の低さを批判しました。Shadowserver Foundationも月曜日、信頼できる情報が不足しているとして、公開されているインスタンスのデータは公表しない方針を示しました。 

一方でShadowserverは、サポート終了（EOL）となったインスタンスのデータは公開しており、現時点で米国だけで26万3,000件を確認しています。サポート終了後は、ソフトウェアの開発元がセキュリティパッチを提供しなくなります。公式サポートを受けるには、利用者が新しいバージョンへアップグレードしなければなりません。