PHP2Shell、公表4日前に悪用の試み 「公表日より前にさかのぼって調査を」とAmazon

何が起きたのか

Amazonの脅威インテリジェンスチーム（Amazon Threat Intelligence）は、PHPの重大な脆弱性2件を悪用しようとする動きを、公表の4日前にあたる10月17日に見つけました。攻撃者をおびき寄せる罠（ハニーポット）「MadPot」で検知したとのことです。PHPの開発チームは、修正版を公開するまで詳細を伏せていました。

数字で見る主なポイント

• 脆弱性は2件あり、どちらも「緊急」レベルです（CVE-2026-109618、CVE-2026-109619）。
• 17日の攻撃の試みは、商用の匿名化ネットワークに関連するIPアドレスから行われました。
• 21日の日本時間午前11時ごろから、悪用コードが複数出回り始めました。
• 修正版の公開後、数時間のうちに新しい悪用コードが登場しました。

なぜ早く狙われたのか

攻撃者は、公表前にどうやって情報を得たのかはまだ分かっていません。さらに、AIを使うと修正内容から攻撃用のコードを作りやすくなっています。その結果、修正版が出てから攻撃が始まるまでの時間が、数時間から数分にまで短くなっています。

なぜ大切なのか

Amazonの最高情報セキュリティ責任者は、情報を隠しておく方法は、別の人が同じバグを見つけるまでしか守りにならないと指摘しています。そのためAmazonは、対応を「日」ではなく「時間」単位で考えること、侵害の調査は最も早く悪用が見つかった時点から始めること、そして攻撃パターンに頼らない検知の仕組みを作ることを勧めています。PHP2Shellについては、少なくとも10月17日以降を調べるよう求めています。

これから注目したい点

• PHPを使っているシステムが、修正版を早く入れられているか。
• 10月17日以降に、侵入の跡がなかったかどうかの調査結果。
• AIを使った攻撃コードの作成が、今後さらに速くなるかどうか。