Amazonは、リモートからコードを実行される恐れがあるPHPの2件の脆弱性「PHP2Shell」(CVE-2026-109618、CVE-2026-109619)について、公表の4日前にあたる2026年10月17日に、ハニーポット網「MadPot」で最初の悪用の試行を観測していたと発表しました。
Amazonは、公表後には実環境で広く悪用されていると説明し、修正版への更新と、少なくとも10月17日までさかのぼった調査を勧めています。修正版と影響範囲は前回の記事でも紹介しています。
公表前から複数の攻撃試行
Amazonの分析によると、10月17日の最初の試行は、商用の匿名化ネットワークに関連するIPアドレスから届いていました。Amazonは攻撃者による活動を疑っており、公表前の情報入手経緯は不明としています。
21日にはAmazonが複数のPoCを確認し、最も早いものは2時UTC(日本時間11時)ごろでした。同日2〜8時UTC(日本時間11〜17時)には、別の匿名化基盤からもMadPotへの試行を観測しています。これらは、同日14時UTC(日本時間23時)の公表より前の動きです。送られた内容などが異なるため、複数の攻撃者による活動とみています。Amazonは、これらの公表前の試行が実際のシステムに対して成功し得たかを分析中としています。
調査は少なくとも10月17日から
修正前のPHPを使っていたWebサーバーでは、Amazonが勧めるとおり、少なくとも10月17日までさかのぼって記録を確認してください。同社は、PHP_SESSION_UPLOAD_PROGRESSを含むフォーム送信、不審なWebリクエスト、想定外のプロセス実行やファイル変更を確認項目に挙げています。
JPCERT/CCは、過去のHTTPレスポンスで設定された異常なPHPSESSID Cookie、不審なmultipartリクエストとその前後のメモリー上限エラーやHTTP 500、PHPワーカーの異常終了も挙げています。複数の攻撃経路があり、攻撃の手法やログの記録状況によっては痕跡が残らない場合もあるとして、外部通信やプロセス、ファイルも併せて調査・監視するよう案内しています。
調査と並行してPHPを更新
修正版はPHP 8.2.35、8.3.36、8.4.27、8.5.12です。Amazonは、設定変更だけで2件を完全に解消できる回避策はないとして、修正版への更新を求めています。すぐに更新できない場合は、アプリの動作への影響を確認したうえで、特定の攻撃経路を減らす暫定策としてmultipartアップロードの遮断を検討する案を示しています。
PHP開発元の告知によると、8.1以前には通常の更新版が提供されず、サポート中の系列への移行が推奨されています。7.4・8.0・8.1向けには最小限のソース修正が公開されています。OSやホスティング事業者がPHPを提供している場合は、配布元による修正の取り込み状況を確認してください。
コメント