PHP2Shell攻撃の動向
PHP2Shellの脆弱性（CVE-2026-109618およびCVE-2026-109619として登録）に対処するための緊急パッチがリリースされてからわずか2日後、サイバーセキュリティ企業は、有名なボットネットファミリーであるMiraiの亜種を展開するために、脅威アクターがこれらの脆弱性を悪用しようとする集中的な試みを観測した。リモートコード実行（RCE）を許可し、CVSS v4.0評価で9.2を獲得したこれらの脆弱性の深刻度にもかかわらず、現時点では現実の環境で成功した侵害は確認されていない。
攻撃者が直面する技術的課題
SophosやHunt.ioなどの企業からの分析によると、攻撃者はこれらの脆弱性を効果的なエクスプロイトに変換する際に極めて大きな困難に直面している。Sansecは、この脆弱性にはサーバー構成と特定の実行条件に関する正確な知識が必要であり、公開されているツールのほとんどはデフォルトのPHP設定に直面すると失敗すると説明した。
一方、VulnCheckは、x86-64システムにおけるASLR（アドレス空間配置ランダム化）技術をバイパスするエクスプロイトの開発に成功した。ASLRは、これまで攻撃者にとって主要な障壁とみなされていたメモリ保護技術である。しかし、このエクスプロイトは同社の顧客のみが利用可能であり、一般に公開されているツールと高度な攻撃能力の間のギャップを反映している。
実質的に何が変わるのか？
- エクスプロイトの複雑さ: 攻撃者のサーバー（SOCRadar経由）で見つかったツールは、攻撃者が集的な実験室実験を行っているものの、テスト環境と一致しない実際のサーバーへの侵入には失敗していることを示している。
- 予防措置: これらの脆弱性に対する懸念から、ヨーロッパの政府機関や教育機関を含む多くの組織が、パッチの適用中に予防措置としてシステムを一時的に停止する事態となった。
- パッチのギャップ: Qualysのデータは、パッチ管理における大きな課題を明らかにした。何百万ものPHPのインスタンスが、セキュリティ修正を受け取らない非常に古いバージョン（EOL：サポート終了）で稼働し続けており、長期間にわたってリスクにさらされている。
セキュリティの背景
これらの脆弱性は昨年8月にWiz、OpenAI、Califによって発見され、CVE識別子の流出後、10月21日にパッチ（バージョン8.5.12、8.4.27、8.3.36、8.2.35）のリリースが加速された。Amazonによって10月17日に初期の悪用試行が観測されたものの、攻撃活動は今のところ確実な侵害につながっておらず、システム管理者に攻撃者がより効率的なツールを開発する前にパッチを適用するための重要な機会を与えている。