PHP脆弱性悪用でサーバー25台を掌握の兆候、韓国も攻撃標的に

何が起きたのか

イスラエルのサイバーセキュリティ企業 Dream の研究チーム「Dream Research」が、PHP の欠陥を使ったサイバー攻撃を報告しました。攻撃者はまず世界中の約 19,000 台のファイアウォールをスキャンしました。そのあと、韓国を含む 4 か国の 240 台を標的に選びました。一部では、社内の管理サーバーにも侵入されました。

主な数字と事実

• 6 月 23 日と 24 日に、約 19,000 台のファイアウォールがスキャンされた
• 韓国、米国、日本、台湾の 240 台のファイアウォールが標的に選ばれた
• 攻撃者は 24 台のファイアウォールで、最上位の管理者権限（root）を取得した
• 米国政府とつながりのあるグループでは、ファイアウォール 2 台と社内管理サーバー 1 台が乗っ取られた
• 乗っ取られた 24 台のうち 22 台に、後から使うための「ウェブシェル」が残されていた

攻撃の仕組み

攻撃者は 2 つの欠陥を組み合わせました。1 つ目は「PHP2Shell」と呼ばれる PHP のバグで、遠くからサーバー上でコマンドを実行できてしまいます。2 つ目は Linux の欠陥で、通常の利用者が完全な制御権を得られてしまいます。ウェブシェルは、攻撃者が遠隔からシステムを操るために仕掛ける隠れたプログラムです。後の攻撃に使われることがあります。

なぜ重要なのか

今回の攻撃は、政府とつながりのあるシステムと、ネットワークを守るためのファイアウォールを狙いました。ファイアウォールを乗っ取られると、その奥にある他のシステムにも届くおそれがあります。研究者は中国とのつながりや AI ツールの利用を示す兆候を見つけたと述べました。ただし、中国のハッキング集団が関わったことや、AI が攻撃コードを書いたことは証明できていないとしています。韓国の当局は、今のところ被害は報告されていないとしています。一方で、企業にセキュリティ更新を入れるよう呼びかけています。

今後注目すべき点

• 韓国のファイアウォールが実際に侵入されたのか、また重要な情報がどれだけ流出したのかは、まだ分かっていない
• 企業が PHP のセキュリティ更新をすばやく適用するかどうか
• さらに乗っ取られたシステムやウェブシェルが見つかるかどうか
• 調査で、攻撃の犯人が誰なのか確認されるかどうか