PHPの深刻な脆弱性「PHP2Shell」狙う攻撃が急増、Mirai亜種感染図るも実環境では難航

要点

• PHPに存在する深刻なリモートコード実行の脆弱性「PHP2Shell」を悪用し、Mirai亜種ボットネットへ感染させようとする攻撃が数百万件規模で観測された。

• 対象の脆弱性（CVE-2026-109618、CVE-2026-109619）はCVSSスコア9.2と評価されており、PHPの最新版で修正パッチが提供されている。

• 攻撃者は「Potassium」と呼ばれる亜種を展開し、ウクライナ国内の特定ネットワークに対する大規模なDDoS攻撃を企てていた。

• 実環境での攻撃成功は確認されておらず、攻撃者は安定した悪用手法の確立に苦戦していると分析されている。

• PHPで新たに報告された深刻な脆弱性「PHP2Shell」を悪用し、端末をボットネットに取り込もうとする攻撃が数百万件規模で発生していることが判明した。セキュリティメディアのThe Hacker Newsが伝えたところによると、攻撃者はマルウェア「Mirai（ミライ）」の亜種を標的に送り込もうと試みているものの、実環境での悪用難易度は想定以上に高く、現時点で攻撃成功は確認されていないという。

深刻度9.2の「PHP2Shell」脆弱性と修正状況

標的となっているのは、「CVE-2026-109618」および「CVE-2026-109619」として管理される2件の脆弱性だ。共通脆弱性評価システム（CVSS：脆弱性の深刻度を数値化した指標）のスコアはいずれも9.2と極めて高い。細工されたHTTPリクエストを送信されることで、認証を経ることなく遠隔から任意のコードを実行（RCE：リモートコード実行）される恐れがある。
開発元はすでに修正パッチを公開しており、PHPのバージョン8.5.12、8.4.27、8.3.36、8.2.35で問題が解消されている。

Mirai亜種「Potassium」を用いた攻撃の試み

セキュリティ企業Sophos（ソフォス）の分析によると、今回確認された検体は、2026年初頭に発見されたMirai派生ボットネット「Potassium（ポタシウム）」の更新版だという。Miraiは感染機器を操り一斉攻撃を仕掛けるマルウェアで、今回の検体にはダウンローダー機能とネットワーク妨害機能が備わっていた。
検体は暗号化されたC2（遠隔指示を出す指令サーバー）アドレスを解決し、「134.199.154[.]64」へTCP接続してHTTPリクエストを送る。HTTP 200応答とデータ先頭がLinux ELFバイナリを示す「7F 45 4C 46」であることを確認した上で、後続ペイロードを呼び出す設計だった。名前解決には8.8.8.8などの公開DNSサーバーへのフォールバック機能も含む。
攻撃元は3つのIPアドレス（85.11.167[.]243、217.60.242[.]76、45.198.224[.]169）で、別サーバー（92.118.112[.]100）経由でローダーを取得していた。最終目標はウクライナ国内の2つのホスト（45.88.138[.]0、45.88.138[.]44）に対する持続的なフラッド攻撃だったとされる。しかし実環境での成功は確認されておらず、Sophosは攻撃者が安定したエクスプロイト作成に苦戦していると分析している。

高度化する難読化とENS活用の懸念

Potassiumは、2026年3月にボットネット監視プラットフォーム「Synthient」が初検知した。Nokia Deepfieldの研究者によると、静的設定テーブルの暗号化にChaCha20暗号を用いるというMirai亜種初の試みがみられた。さらに、全通信データに単一バイト（0xED）を用いる手法や、同一経路でのリバースシェル運用、接続前にAレコードの16ビットを入れ替えるDNS難読化処理も実装されていた。
Arctic Wolf（アークティック・ウルフ）の分析では、同ボットネットはICMPやTCP、UDP、OpenVPNによるフラッド攻撃を行う24種類のコマンドを保持していた。
また、ARMおよびx86向けビルドには、ブロックチェーン基盤のドメイン解決システム「ENS（Ethereum Name Service）」経由でC2を解決する設定も存在していた。今回の検体では無効化されていたが、将来的に有効化された場合、正規DNSへの依存が減り、インフラの遮断や防御がより困難になると同社は指摘している。

攻撃者サーバーから見つかった事前調査スクリプト

脅威インテリジェンス企業SOCRadar（エスオーシーレーダー）は、攻撃者が管理する公開サーバー（206.188.197[.]105:9999）上で、PHP 8.4.26向けエクスプロイトツールを発見した。
サーバー内にはエクスプロイト本体に加え、稼働中のWebサイトが攻撃に必要な前提条件を満たしているか調べる3種類のスクリーニングスクリプトも保管されていた。同社によると、スクリプトはカナダ、中国、フィンランド、フランス、ポーランド、英国、米国の7か国に及ぶ約20件の公開Webサイトを対象に、PHPのバージョンやサーバー設定、セッション構成を事前に探索していたという。