F5 BIG-IP APMを狙うマルウェア、メモリ内にPHP Webシェルを注入しファイル検査を回避する手口が判明

要点

• セキュリティ企業Sophosの解析により、F5のネットワーク機器「BIG-IP APM」を狙うマルウェアが、ディスクを改ざんせずメモリ上でWebシェルを注入する手口を使っていることが判明した。

• マルウェアはApacheの実行ファイルを改ざんして常駐し、正規PHPスクリプトの読み込み時にメモリ上のデータへ悪意あるコードを結合してファイルスキャンをすり抜ける。

• 通信レスポンスをCSSファイル取得に偽装する機能や、ネットワークポートを開放せずに対話型シェルを提供するローカルソケット機能を備える。

• 侵入経路として関連付けられている深刻な脆弱性「CVE-2025-53521」は悪用が確認されており、既存の修正パッチの適用が呼びかけられている。

• 英サイバーセキュリティ企業のSophos（ソフォス）は2026年9月7日、F5のアクセス管理アプライアンス「BIG-IP APM」への不正アクセスで使用されたマルウェアの解析結果を公表した。攻撃者はディスク上のファイルを改ざんするのではなく、メモリ上で正規のPHPスクリプトにWebシェル（遠隔操作用の不正スクリプト）を埋め込むことで、従来のファイルスキャンによる検知を回避していたことが明らかになった。

ディスク検査をすり抜ける「インメモリ注入」の仕組み

Webシェルを用いた攻撃では、通常サーバーのディスク上に不正なスクリプトファイルが配置されるため、防御側はファイルをスキャンして正規コピーと比較することで侵入を検知できる。しかし、Sophosの研究者によると、今回のマルウェアではWebシェルがディスク上に完成した形で存在しない。

WebサーバーであるApacheがBIG-IP APMのWeb管理画面（Webtop）を構成する3つの正規スクリプト「apm_css.php3」「full_wt.php3」「webtop_popup_css.php3」を読み込む際、マルウェアはメモリ上に展開されたデータに対してWebシェルを結合する。そのため、ディスク上のファイルを検査しても改ざんの痕跡は見つからない。

F5は2026年3月の侵入痕跡（IoC）一覧でこの3ファイルを挙げ、「ファイル自体の存在は侵害を意味しない」としつつ「Webシェルがメモリ内でのみ動作することが確認されている」と説明していたが、今回のSophosの解析によってその具体的な動作原理が解明された。

Apacheの起動処理をフックする感染メカニズム

Webシェルの注入自体はメモリ上で行われるものの、感染の初期段階ではディスクへの書き込みが行われる。Sophosによると、「umount」というサンプルに含まれるインストーラーが、Apacheの実行ファイル「/usr/sbin/httpd」の先頭に悪意あるコードを直接追加して改ざんする。

セキュリティ企業のESETが2026年4月に「PoisonedRefresh」と名付けて公表した解析によると、このインストーラーはroot（最高管理者）権限で実行され、Linuxのセキュリティ機構であるSELinuxを無効化する。さらに、BIG-IPのインストールイメージ内にある「umount」「httpd」「rc.local」を改ざんし、インストールメディアを通じて他のシステムへ感染を広げようとしていた痕跡も確認されている。

改ざんされたApacheが起動すると、マルウェアはApache自身のコードが動く前に実行を開始し、基盤ライブラリの関数「apr_dso_load」をフック（処理の横取り）してPHPモジュール（libphp）の読み込みを待機する。PHPがロードされると、プロセスのメモリマップ（/proc/self/maps）からメモリ領域を特定し、一時的に書き込み権限を付与してファイル操作関数を書き換える。これにより、PHPが前述の3スクリプトを開いた際、メモリ上の先頭にWebシェルが自動的に挿入される状態を作り出す。

通信の偽装とポートを開かないバックドア

メモリ上に展開されたWebシェルは、HTTPリクエストのボディに含まれるマーカーを検証し、後続のデータを復号してコマンドを実行する。応答にはHTTPステータス「201」とともに、Content-TypeヘッダーとしてCSS（スタイルシート）を指定して返すため、外部からの監視に対しては単なるスタイルシートの取得通信に見えるよう偽装されている。

また、マルウェアは「/run/bigtlog.pipe」にローカルソケット（同一システム内でプロセス間通信を行う仕組み）を作成し、特定トークンの受信によって対話型シェル「/bin/bash」へ接続する機能も備えている。これにより、外部に向けて新たなネットワークポートを開くことなく、システム内部での対話型操作を可能にしている。Sophosによると、Webシェル側からこのソケットへ接続するコードは見当たらず、2つの侵入経路は独立した機能として実装されているとみられる。

関連する脆弱性「CVE-2025-53521」

F5はこの一連の攻撃活動を、脆弱性「CVE-2025-53521」の影響を受けるアプライアンスに関連付けている。この脆弱性は、仮想サーバー上でBIG-IP APMアクセスポリシーが設定されている環境に影響する。

当初は2025年10月15日にサービス妨害（DoS）の脆弱性として公開されたが、F5は2026年3月27日に認証不要のリモートコード実行（RCE）が可能であるとして再分類し、実際の悪用を確認したと発表した。深刻度はCVSS 3.1で「9.8」、CVSS 4.0で「9.3」と評価されている。米サイバーセキュリティ・インフラセキュリティ庁（CISA）も同日に悪用が確認された脆弱性カタログ（KEV）へ追加し、米連邦文民機関に対して対応を義務付けた。

影響を受けるバージョンと修正版は以下のとおりである。

影響を受けるバージョン	修正バージョン
17.5.0 〜 17.5.1	17.5.1.3
17.1.0 〜 17.1.2	17.1.3
16.1.0 〜 16.1.6	16.1.6.1
15.1.0 〜 15.1.10	15.1.10.8

アイルランド国家サイバーセキュリティセンター（NCSC）によると、2025年10月に公開された既存の修正パッチで現在も保護が可能であるとしている。英国の国家サイバーセキュリティセンター（NCSC）が指摘するように、BIG-IP APMは大企業を中心に広く導入されているコンポーネントである。