Amazon: PHP2Shellの脆弱性悪用、パッチ公開の4日前から開始
Amazonのセキュリティインテリジェンス部門（Amazon Threat Intelligence）のサイバーセキュリティ研究者は、攻撃者がPHP2Shellの深刻な脆弱性を、セキュリティパッチの公式リリースより丸4日早く標的にし始めたことを確認しました。
この2つの重大な脆弱性は、CVE-2026-109618およびCVE-2026-109619として識別されており、攻撃者が影響を受けるシステム上でリモートコード実行（RCE）を行うことを可能にします。PHP開発チームは、システム管理者にアップデートの準備を促した翌日の10月21日に、必要なパッチを急遽リリースしました。
脆弱性の詳細漏洩とスケジュールの加速
PHPチームは、当初の開示計画とは異なり、PHP2Shellの脆弱性に関する技術的な詳細がオンラインで漏洩したことを受け、対応を早めたと説明しました。この漏洩には、CVE識別子や一部の重要インフラプロバイダー向けの緩和策が含まれていました。パッチ公開前に概念実証（PoC）の一部が公開されたものの、PHPチームは、その時点では実際の攻撃能力を備えたものではなかったと指摘しています。
現場での攻撃検知と開始時期
Amazonの報告書は、Cloudflare、watchTowr、Previdian、Hadrian、Patchstackを含む複数のセキュリティ企業が、公開前に行われた悪用の試みを検知したことを受けて発表されました。Amazon Web Services（AWS）の最高情報セキュリティ責任者であるCJモーゼス氏によると、最初の試みは10月17日土曜日に、商用の匿名化ネットワークに属するIPアドレスから開始されました。
モーゼス氏は、使用された実際のペイロードや匿名化インフラが多様であることから、複数の攻撃者が関与している可能性を示唆しました。また、防御側に対し、攻撃開始日を公式の開示日と見なさないよう警告し、現在これらの脆弱性が広範囲で悪用されていることを強調しました。
サイトやシステムへの影響
PHP（Hypertext Preprocessor）は、WordPress、Drupal、Joomlaなどの有名なコンテンツ管理プラットフォームを含む、インターネット上の全ウェブサイトの約80%を支えるオープンソースのプログラミング言語です。VirusTotalプラットフォームのデータによると、インターネット上に公開されているPHPサーバーは510万台を超えており、そのうち約380万台が攻撃に対して少なくとも1つのポートを開放している状態であり、潜在的な影響は極めて広範囲に及ぶとされています。