Amazon、公表の4日前にPHP2Shellの攻撃の試みを確認

PHP2Shellは、多くの防御側がその存在を知る4日前に、すでに狙われていました。Amazonによると、同社のハニーポット網MadPotは2026年10月17日、PHPの2件の脆弱性を突こうとする試みを記録しました。修正版と公表は、10月21日14時（UTC）まで出ていません。Amazonは現在、この脆弱性が広く悪用されているとしています。

PHPは水曜日、2件の脆弱性CVE-2026-109618とCVE-2026-109619をPHP 8.5.12、8.4.27、8.3.36、8.2.35で修正しました。どちらも9.2と評価され、攻撃者がログインせずにWebサーバー上でコードを実行できるおそれがあります。Amazonの時系列からすると、水曜日にパッチを当てたサーバーでも、それ以前に攻撃を受けていた可能性があります。

Amazonが見たもの

MadPotは、Amazonのハニーポット網です。ハニーポットとは、攻撃者をおびき寄せてその行動を記録するためのおとりのサーバーです。AmazonはAWS Security Blogの記事で、センサーが記録した内容を説明しています。

日時（UTC）	出来事
10月17日	MadPotが最初の試みを記録。送信元は商用の匿名化ネットワークに関係するアドレス
10月20日	CVE番号がHacker NewsとSNSで出回る（Tenable調べ）
10月21日 2時ごろ	最初の概念実証（PoC）エクスプロイトが出現。修正版の約12時間前
10月21日 2時〜8時	ほかの匿名化インフラから、さらに試みが届く
10月21日 14時	エンバーゴが解除され、修正版が公開

10月21日の試みでは、ペイロードもインフラもさまざまでした。Amazonは、攻撃者が複数いることを示しているとみています。修正版の公開後は、数時間のうちにさらにエクスプロイトが現れ、ほぼすぐにAmazonのセンサーに届きました。

Amazonは、わかっていないことについても慎重です。センサーはおとりなので、初期の試みが実際のシステムで成功したかどうかはわかりません。Amazonはさらに、「攻撃者が公表前にどうやってエクスプロイトの情報を手に入れたのかは不明のまま」だと書いています。10月17日の試みは、CVE番号が漏れる3日前のことでした。

エンバーゴが崩れた経緯

エンバーゴとは、バグを公表する前に、プロジェクトと協力先がひそかに修正を準備する期間のことです。PHP2Shellのエンバーゴは守られませんでした。

TenableとThe Hacker Newsによると、PHP Foundationは当初、リリースを10月22日に予定していました。CVE番号が漏れたため、日程を1日早めました。The Registerによると、同財団は、コンテナイメージを公開しているChainguardが、合意した期限より前に修正済みのビルドを出したとも非難しました。The Hacker Newsが引用した財団の言葉は、「ほかのPHPユーザーがまだリリースを待っている間に、攻撃者は誰でもバイナリの形で修正を調べられるようになった」というものです。報道には、Chainguardの反論は含まれていません。

攻撃の波の大きさ

Cloudflareの最高経営責任者（CEO）Matthew Prince氏は、Xで件数を公表しました。Cloudflareは、公表前の10時間に数千件の試みを確認しました。公表後45分で数万件、2時間で数十万件に増えました。Prince氏によると、現在は「数百万件」です。

The Hacker Newsによると、ホスティング企業のPantheonは6万件を超える不審なリクエストを遮断しました。Cloudflareは、攻撃者がファイアウォールのルールをすり抜けるため、ペイロードを変え続けていると説明しています。どの数字も、侵入の成功を裏づけるものではありません。遮断された、または記録された試みの数です。

The Hacker Newsは、Amazonのセキュリティ責任者CJ Moses氏の言葉で、こうした事態が続く理由を伝えています。「AIを使った分析で、パッチの差分やアドバイザリーを動くエクスプロイトに変えるコストが下がっている」

開発者にとっての意味

PHPを動かしているなら、調査の起点はパッチを当てた日ではなく10月17日です。Amazonははっきりこう書いています。「調査は公表日からではなく、最初に確認された悪用の時点から始めること」

• まずパッチを当てる。 8.5.12、8.4.27、8.3.36、8.2.35のいずれかを入れ、新しいコードが実際に動くようにPHPのワーカーをすべて再起動してください。Amazonによると、2件とも完全に直せるのはアップグレードだけです。
• 既知のパターンをログで探す。 Amazonは、フォームのアップロードでPHP_SESSION_UPLOAD_PROGRESSという文字列を含むPOSTリクエストを探すよう勧めています。セキュリティ企業のHadrianは、観測した攻撃の大半がこのセッションのアップロード進捗の経路を悪用していると述べています。
• コードが実行された形跡を探す。 サーバーに想定外のプロセスや書き換えられたファイルがないか確認してください。FBIは、PHPのプロセスがコマンドシェルを起動したりファイルをダウンロードしたりする動きに注意するよう呼びかけています。
• 応急処置はパッチまでのつなぎに限る。 PHP自身の一覧には、session.upload_progress.enabled=0の設定とワーカーの再起動が含まれます。Amazonは、アプリがなくても困らないなら、マルチパートのファイルアップロードを遮断することも勧めています。
• 公開されたエクスプロイトのコードを信用しない。 JFrogは、GitHub上に偽のPHP2Shellエクスプロイトやいたずらのマルウェアがあると報告しています。Tenableは、出回っているコードにマルウェアが隠れている可能性があると警告しています。
• 挙げられたIPアドレスは調べるが、遮断に頼らない。 Amazonは6件を公表していますが、共有の匿名化サービスのものなので、遮断より調査を勧めています。