先制攻撃の詳細
Amazonの脅威インテリジェンスチームが発表したレポートによると、攻撃者が公式アップデートがリリースされる数日前に、プログラミング言語PHPの重大な脆弱性を悪用しようと試みたことが確認されました。Amazonの監視システムは、10月17日、つまり修正プログラムが公式に発表される前に、PHP2Shellとして知られる脆弱性を悪用しようとする試みを検知しました。
発見された脆弱性はCVE-2026-109618およびCVE-2026-109619に関連しており、攻撃者が影響を受けるシステム上で悪意のあるコードをリモートから実行することを可能にします。PHP財団のエグゼクティブディレクターであるエリザベス・バロン氏は、現時点でリモートコード実行が成功した証拠はないと断言したものの、直ちにシステムをアップデートする必要性を強調しました。
なぜ修正が遅れたのか？
PHP財団は、これらの脆弱性は2024年から理論上は知られていたものの、これらの欠陥への対処には、後方互換性の維持、サービス拒否攻撃の回避、さらに外部プラグイン開発者との調整の難しさなど、複雑な技術的課題があったと説明しました。解決策のリリース日が近づくにつれ、脆弱性の詳細がフォーラムやソーシャルメディアを通じて漏洩し始め、保護策が提供される前に攻撃者が悪用する機会を与えてしまいました。
実務上何が変わるのか？
PHP財団はセキュリティ危機管理における不備を認め、複雑な解決策を要する重大な脆弱性がより迅速にリーダーシップ層に伝わるよう、内部プロセスを変更することを約束しました。その目的は、意思決定のペースを加速させ、アップデートのタイムリーなリリースを妨げる可能性のある困難な技術的トレードオフを乗り越えることです。
今回の事件は、責任ある開示（Responsible Disclosure）前の「情報漏洩」のリスクを痛感させるものとなりました。Amazonのレポートは、攻撃者が公的な漏洩が始まる前に脆弱性を特定していた可能性があることを指摘しており、ソースコードリポジトリの変更を注意深く監視している、あるいはエンバーゴ（情報公開制限）期間を利用して未発表の脆弱性を探している攻撃者が存在することを示唆しています。