PHPの深刻なRCE脆弱性「PHP2Shell」、公表4日前に悪用試行を検知——Amazon発表

要点

• Amazonは、PHPの重大な脆弱性「PHP2Shell」への悪用試行を、公式発表の4日前にハニーポットで検知したと発表した。

• 該当する2件の欠陥（CVE-2026-109618、CVE-2026-109619）はCVSS 9.2と評価され、PHP 7.x・8.x全般において事前認証なしで遠隔コード実行が可能になる。

• 攻撃はアプリケーションログに異常を残さずHTTP 200を返すため、侵害の検知が極めて困難とされる。

• 本来の公開前に情報漏洩と事前提供先による先行公開が重なり、公式パッチのリリースは1日前倒しされた。

• 公開直後から攻撃が急増しており、米英の公的機関が速やかなパッチ適用を呼びかけている。

• 米Amazonの脅威インテリジェンスチームは2026年10月21日、PHPの深刻な脆弱性群「PHP2Shell」について、公式公開の4日前にあたる10月17日に悪用試行を検知していたと発表した。同社のハニーポット（攻撃者の手口を分析するために意図的に設置された囮のサーバー環境）「MadPot」で観測され、商業用の匿名化ネットワークが使われていたという。パッチ公開に伴い世界各地で攻撃が活発化する中、公表前に至る動向や情報漏洩の経緯が明らかになっている。

公表前のエンバーゴ期間にハニーポットで検知

Amazonによると、悪用試行は2026年10月17日、オーストラリアに所在するIPアドレス「103.216.220[.]92」からMadPot宛てに記録された。

同社CISO（最高情報セキュリティ責任者）のCJ Moses氏は、当時は脆弱性がエンバーゴ（修正準備のために情報の一般公開を差し控える猶予期間）の段階にあったと説明している。匿名化IPからハニーポットを標的にしていた事実から脅威アクターの関与が示唆されるものの、公開前にいかにして悪用情報を入手したのかは依然として判明していないという。

PHP 7系・8系全般に及ぶ事前認証RCEの脅威

PHP2Shellは、PHPのコア部分に存在する「CVE-2026-109618」と「CVE-2026-109619」の2件を指す。深刻度を示すCVSSスコアはいずれも9.2と極めて高く、Calif、OpenAI、Wiz（Google傘下）の研究者らによって発見された。

影響範囲はPHP 7.x系および8.x系の全リリースに及び、悪用されると事前認証なしでリモートコード実行（遠隔から任意のプログラムを実行できる手法）が可能になる。ログイン画面だけでなく、静的フォームやヘルスチェックなど、外部から通信が届くあらゆるエンドポイントが脅威にさらされる。

アプリログに残らない攻撃痕跡とPHPコアの構造

セキュリティ企業CrowdStrikeの分析によると、PHP2Shellを突いた攻撃はシステム側にデジタルな痕跡をほとんど残さない。認証回避やセッション奪取が不要で、利用中のCMSやプラグインにも依存しないためだ。

攻撃時もワーカープロセスは安定してHTTP 200を返し、アプリケーションコード自体が実行されないため通常のログには異常が出ない。唯一の痕跡はエラーログに記録される1件のメモリ上限エラー（Fatal Error）のみだが、運用上ノイズとして見過ごされやすい。

開発元のPHP Foundationは、問題がメモリ管理とエラー処理という中核部分にあったと説明。この根幹部分にあることが脆弱性を深刻化させると同時に、互換性や性能を維持した修正を極めて難しくしていたと述べている。

情報漏洩と先行公開によるスケジュールの崩壊

当初、脆弱性情報は2026年10月22日午後2時（協定世界時: UTC）に協調的開示（関係者が足並みを揃えて公表する手順）が行われる予定だった。しかし、詳細情報や概念実証（PoC: 悪用可能性を示す検証コード）が事前に外部流出したため、PHP Foundationは公開を1日前倒しした。

さらに、パッチの事前提供を受けていた企業のChainguardが期日を守らず、修正済みイメージを先行公開した。PHP Foundationは、一般ユーザーがリリースを待つ間に攻撃者が修正をバイナリ解析できる状況を招いたとして、数週間に及ぶ協調的開示の取り組みを無視する行為だったと批判している。

パッチ公開直後の攻撃急増と各国の緊急警告

パッチが公開された10月21日には、午前2時（UTC）の初動を皮切りに、匿名化インフラを介した複数のPoC攻撃がAmazonによって確認された。ペイロードの多様性などから複数の脅威アクターが関与しているとみられ、同社は発信元として5つのIPアドレスを挙げている。また、セキュリティ企業ELLIOもChainguardの公開から1時間足らずで最初の攻撃通信を観測した。

事態の重大性を受け、英国NCSCや米国CISAをはじめとする国際的なサイバーセキュリティ機関が相次いで警告を発令し、対象システムへ速やかに修正を適用するよう強く促している。