AI支援のPHP2Shell攻撃、米政府関連システムを含む25台のサーバーをroot化

Dreamのサイバーセキュリティ研究者は、2026年10月25日に観測された、AIを活用した高度なサイバー作戦を開示しました。中国との関連が疑われる脅威アクターが、PHP2Shell脆弱性チェーンを利用し、米政府関連環境内の3台を含む25台のサーバーを侵害しました。

何が起きたか

この攻撃は、ある大手ベンダーのソフトウェアの特定バージョンを実行しているインターネット接続型のファイアウォールを狙ったものですが、ベンダー名は公開されていません。Dreamは影響を受けた組織に通知しました。侵入は、PHP2Shell（CVE-2026-109618およびCVE-2026-109619）とFragnesia（CVE-2026-46300）という2つの異なる脆弱性の悪用から始まりました。PHP2ShellはCVSSスコア9.2の未認証リモートコード実行を可能にし、Fragnesiaはスコア7.8のLinuxカーネルローカル権限昇格欠陥です。

攻撃者は公開されているエクスプロイトコードを使用せず、代わりに標的としたファイアウォールプラットフォーム専用に調整された、非公開のカスタムビルドを展開しました。このカスタム実装は、ファイアウォールのappweb管理サーバーにおけるPHPのsession.upload_progressメカニズムを狙ったものです。オペレーティングシステムはメモリ制限が高いPHP 8.0.30を実行しており、これが攻撃に必要なメモリ破損ステージを容易にしました。初期アクセス獲得後、Fragnesiaカーネルエクスプロイトを使用してroot権限へ昇格しました。

システムのroot化後、攻撃者は米政府関連ネットワーク内の3台のサーバーに焦点を当てました。侵害されたファイアウォールから自らのインフラへの永続的なリバースSSHトンネルを確立し、インターネットに直接公開されていない内部管理サーバーへ到達できるようにしました。その後、Active Directoryを標的として横方向移動を行い、LDAPサービスアカウントパスワードの復号、ユーザー列挙、パスワードスプレーを試みました。有効な資格情報が実際に抽出されたのか、あるいはバックドアアカウントが作成されたのかは不明です。

仕組み

この作戦は、攻撃の開発と実行を強化するために人工知能に大きく依存していました。フォレンジックアーティファクトにより、攻撃インフラ内にAnthropicのClaude Codeがインストールされていたことが判明しました。さらに、攻撃者はインターネット接続デバイス検索エンジンであるFOFAのAPIキーや、aiscanと呼ばれるAI駆動型オフセンシブセキュリティプラットフォームを使用していました。このプラットフォームには、DeepSeekとKimiの大規模言語モデルが設定されていました。約40本のスクリプト全体で一貫したコード構造とコメントスタイルが見られることは、AIツールがエクスプロイトコードの生成と改良に使用されたことを示唆しています。

攻撃は体系的なファネルに従いました。まず、攻撃者はFOFAを使用して、管理インターフェースが公開されている約19,000台のインターネット接続型ファイアウォールを識別しました。カスタムバージョンスキャナーでこれらのデバイスをチェックし、約5,000台がバージョン情報を返答しました。攻撃者は地理情報でリストを絞り込み、米国、日本、台湾、韓国に焦点を当て、さらにPHP 8.0.30を実行しているシステムに限定しました。このプロセスにより、240台の高価値ターゲットが抽出されました。

自動化されたバッチランナーが、これら240台のターゲットに対してPHP2Shell-Fragnesiaエクスプロイトチェーンを実行しました。スクリプトはPHPウェブシェルを設置し、rootアクセスを検証し、成功した侵害をログ記録しました。この自動化により、攻撃者は特定の政府関連ターゲットへのより深い浸透のために手動でピボットする前に、効率的に24台のサーバーをroot化することができました。

主要な詳細

• この攻撃は、リモートコード実行のためのPHP2Shell（CVE-2026-109618/109619）と権限昇格のためのFragnesia（CVE-2026-46300）を組み合わせたものでした。
• Claude Code、aiscan、DeepSeek、KimiなどのAIツールが、カスタムエクスプロイトスクリプトの開発と管理に使用されました。
• 約19,000台のファイアウォールがスキャンされ、米国、日本、台湾、韓国で合計25台のサーバーがroot化されました。
• 攻撃者は、インターネットに直接公開されていない内部ファイアウォール管理サーバーにアクセスするため、永続的なリバースSSHトンネルを確立しました。
• エクスプロイト後の活動には、Active Directoryの列挙、LDAPパスワード復号の試み、パスワードスプレーが含まれていました。
• カスタムエクスプロイトはPHP 8.0.30のsession.upload_progressメカニズムを狙い、高いメモリ制限を利用してメモリ破損を引き起こしました。

なぜ重要か

この事案は、複雑なエクスプロイト開発への参入障壁を下げる上でAIの役割が増大していることを浮き彫りにします。PHP2Shellは、libphp.soからの特定のメモリオフセットが必要であるため、実環境での悪用が難しいと考えられてきましたが、AIの支援により、攻撃者は特定のビルド向けに信頼性の高いカスタム武器化を作成することができました。これは、難解または悪用困難な脆弱性が「隠蔽」や「複雑さ」によって十分な安全性を提供するという前提を覆すものです。

ソフトウェアエンジニアやセキュリティ責任者にとって、この侵害は公開された管理インターフェースのリスクを強調します。ファイアウォールのような境界セキュリティツールであっても、その管理レイヤーはActive Directoryのような重要なアイデンティティ基盤への入口となり得ます。root化されたファイアウォールからリバーストンネル経由で内部サーバーへピボットできるという攻撃者の能力は、堅牢な内部セグメンテーションと監視なしでは、境界防御だけでは不十分であることを示しています。

対応策

• すべてのインターネット接続型管理インターフェースを監査し、絶対に必要な場合を除き、パブリックインターネットに公開されていないことを確認してください。
• ファイアウォールおよびサーバーOSがPHP 8.0.30や、CVE-2026-109618およびCVE-2026-109619の影響を受ける他のバージョンを実行していないことを検証してください。
• Fragnesiaカーネル脆弱性（CVE-2026-46300）のパッチを適用し、初期アクセス獲得後のローカル権限昇格を防いでください。
• 異常なアウトバウンドSSH接続、特にリバーストンネルを監視してください。これらは侵害されたホストが外部インフラと通信している兆候かもしれません。
• Active Directoryログを確認し、LDAPサービスアカウントの復号試み、ユーザー列挙、パスワードスプレー攻撃の兆候がないか調査してください。
• 厳格なネットワークセグメンテーションを実装し、侵害された境界デバイスが内部管理サーバーやアイデンティティシステムにアクセスできないようにしてください。