PHP2Shellの脆弱性、公開前に悪用される

Amazonの脅威インテリジェンスチームは、2026年10月17日という早い段階で、PHP2Shellとして知られるPHPコアの重大な脆弱性を標的とした積極的な悪用試行を、同社のハニーポットインフラストラクチャ上で検出した。この活動は、これらの欠陥に関する協調的な一般公開の5日前に行われており、修正プログラムがまだ秘密保持期間中である間に、脅威アクターが悪用の詳細情報を入手していたことを示唆している。

何が起きたか

CVE-2026-109618およびCVE-2026-109619として追跡されているこれらの脆弱性は、CVSSスコア9.2を持ち、認証前のリモートコード実行（RCE）を可能にする。Calif、OpenAI、Wizの研究チームが発見したこの問題は、7.xおよび8.xシリーズのすべてのPHPリリースに影響を与える。PHP Foundationは当初、2026年10月22日UTC午後2時に協調的な開示を予定していたが、概念実証（PoC）エクスプロイトとCVE識別子が事前に漏洩したため、リリースを1日前倒しにした。

Amazonは、商業的な匿名化ネットワークに関連するIPアドレスからの最も早い既知のプロブ（探索行為）を検出した。このIPアドレスは地理的にオーストラリアに位置付けられていた。Amazon Integrated SecurityのCISOであるCJ Moses氏は、アクターがどのように情報を入手したのかは不明だが、匿名化されたインフラの使用は、偶発的なスキャンではなく意図的な脅威活動を示唆していると指摘した。漏洩後、複数の他のアクターがパッチリリースの数時間以内に、異なる匿名化されたIPから多様なペイロードを用いて攻撃を開始した。

Chainguardが公式発表の前に修正を含むコンテナイメージを公開したことで、事前の露出はさらに悪化した。これにより、攻撃者はバイナリの差分を研究し、ほとんどのユーザーがリスクを認識していない間に脆弱性をリバースエンジニアリングすることが可能になった。PHP Foundationはこの動きを批判し、数週間にわたる協調的努力が無視され、攻撃者に信頼性の高いエクスプロイト開発のための先行利得を与えたと述べた。

仕組み

これらの欠陥は、ほぼすべてのリクエストを処理するPHPのメモリ管理およびエラーハンドリングサブシステムに存在する。脆弱性がランタイムコアの深層にあるため、特定のコンテンツ管理システム（CMS）、フレームワーク、またはプラグインには依存しない。攻撃者は、静的フォーム、ログインページ、ヘルスチェックなど、到達可能な任意のPHPエンドポイントに対して、認証やセッション窃取なしにリモートコード実行を引き起こすことができる。

CrowdStrikeは、これらの攻撃がデジタル上の痕跡を最小限しか残さないことを強調している。エクスプロイトがアプリケーションコードの実行前に発生するため、Webサーバーログには通常、正常なHTTP 200レスポンスと安定したワーカープロセスが表示される。唯一の可能性のある指標は、Webサーバーのエラーログにおけるメモリ制限による致命的エラーであり、管理者はこれを定常的なノイズとして無視することが多い。このように実用的なテレメトリが不足しているため、従来のWebアプリケーションファイアウォール（WAF）やログ監視では検出が困難となる。

主要な詳細

• 脆弱性はすべてのPHP 7.xおよび8.xリリースに影響し、推定438万のインターネット接続サービスにリスクをもたらす。
• 悪用試行は、公開パッチリリースの5日前である2026年10月17日に早くも検出された。
• 攻撃はアプリケーションログにほとんど痕跡を残さず、曖昧なサーバー側のメモリエラーのみが可能性のある指標となる。
• 検出されたインターネット接続PHPサービスの79%以上がサポート終了（EOL）のブランチで稼働しており、全体的な攻撃面を拡大させている。
• 複数の脅威アクターが匿名化ネットワークと変異ペイロードを使用し、初期のセキュリティ保護を回避した。
• CISA、NCSC、NSAなどの政府機関は、パッチ適用またはシステムオフライン化を促す緊急勧告を発行している。

なぜ重要なのか

ソフトウェアエンジニアやITリーダーにとって、PHP2Shellは多くの標準的な防御レイヤーを迂回するため、深刻な課題となる。脆弱性自体がランタイムに存在するため、CMSプラグインの更新やフレームワーク設定の調整では保護にならない。PHPはウェブサイトの約70%を支えるほど普及しているため、脆弱なPHPバージョンを実行している小さく目立たないサービスであっても、より広範なネットワーク侵害への入口となり得る。

この事件はまた、脆弱性情報開示における変化しつつある力学も浮き彫りにしている。CJ Moses氏が観察したように、AI支援分析により、パッチリリースと動作するエクスプロイト作成までの時間が短縮されている。攻撃者は現在、Chainguardのような早期リリースからのバイナリ差分を迅速に分析し、大多数のユーザーがアップデートを適用する前に武器を構築できる。これは協調的开示によって伝統的に提供されてきた安全ウィンドウを減少させ、より速い内部修復サイクルを要求する。

対応策

• すべてのPHPインスタンスを最新の修正済みバージョンに直ちに更新し、インターネット接続サーバーを優先すること。
• インフラストラクチャを監査し、5.x、7.4、8.1などのサポート終了ブランチで稼働しているPHPサービスを特定すること。
• PHPワーカーによる予期しないシェル起動やファイルダウンロードを検出するために、プロセス監視機能を実装すること。
• Webサーバーのエラーログを確認し、悪用試行を示す可能性のあるメモリ制限による致命的エラーを特に調査すること。
• OpenAIのCodexスキルやベンダー固有のスキャナーなどのツールを使用して、ローカルバイナリとウェブサイトが脆弱かどうかを確認すること。
• 互換性の制約により即時のパッチ適用が不可能な場合、非重要なPHPサービスを一時オフラインにすることを検討すること。