[ITmedia News] PHP2Shell、公表4日前に悪用の試み 「公表日より前にさかのぼって調査を」とAmazon

　米Amazonの脅威インテリジェンスチーム「Amazon Threat Intelligence」は10月21日（米国時間）、PHPの「緊急」レベルの脆弱性2件（CVE-2026-109618、CVE-2026-109619、通称「PHP2Shell」）を悪用しようとする試みを、脆弱性公表の4日前に当たる10月17日に観測していたと、AWSの公式ブログで明らかにした。攻撃者をおびき寄せるために運用しているハニーポット「MadPot」で検知したという。

（画像：Amazon）

　PHPの開発チームは、修正版を公開する日本時間21日午後11時まで、脆弱性の詳細を伏せていた。17日の試みは、商用の匿名化ネットワークに関連するIPアドレスから行われていた。Amazonはこれを攻撃者によるものとみているが、公表前にどうやって情報を入手したのかは分かっていないとしている。21日には日本時間の午前11時ごろから悪用コードが複数出回り始め、午後5時ごろまでの間に、複数の攻撃者によるとみられる悪用の試みを新たに観測した。修正版の公開後は数時間のうちに新たな悪用コードが登場し、PHP2Shellが悪用される事例が相次ぐ状況になったという。

　Amazonの最高情報セキュリティ責任者（CISO）、CJ・モーゼス氏は、今回の件から得られる教訓を2点挙げている。1つは、脆弱性の情報を公表まで伏せておく措置が守りになるのは、第三者が同じバグを発見するまでの間にすぎない点だ。もう1つは、AIを使った分析で修正内容から攻撃コードを作るのが容易になり、修正版の公開から攻撃が始まるまでの時間が数時間、場合によっては数分にまで縮まっていることだ。

　その上で、セキュリティ部門の責任者に向けて、見直すべき前提として次の3点を提示している。1つ目は、インターネットに公開しているシステムの深刻な脆弱性への対応を「時間」単位で管理することだ。7日や30日といった従来の対応期限は、もはや存在しない猶予を前提にしているという。2つ目は、侵害の調査を公表日からではなく、最も早く悪用が確認された時点から始めることだ。PHP2Shellについては、少なくとも10月17日以降を調査対象にするよう求めている。3つ目は、個々の脆弱性に合わせた攻撃パターン（シグネチャ）に頼らない検知の仕組みに投資することだ。最初の悪用は、そうしたパターンが作られる前に起きることが多いためだとしている。

　AWSは、自社の脅威インテリジェンスの仕組みが、この脆弱性を狙った悪意のあるスキャンを自動的に検出して制限したと説明している。