中国の攻撃者とみられる集団、独自のPHP2Shellエクスプロイトで25台のサーバーを乗っ取り

何が起きたのか

セキュリティ会社 Dream の調査によると、中国系とみられる攻撃者が、PHP2Shell という弱点と Linux カーネルの権限昇格の弱点 Fragnesia を組み合わせて攻撃しました。標的になったのは、Palo Alto Networks のファイアウォールなど 25 台のサーバーです。米国、日本、台湾、韓国の組織が狙われました。攻撃者は、米国政府と関係のあるファイアウォールにも侵入しました。

主な数字と事実

• 攻撃が始まったのは 10 月 23 日です。
• 最初の米国政府関連ファイアウォールは 10 月 23 日に乗っ取られましたが、その後クラッシュしました。原因は、約 900 MB の攻撃用の通信だった可能性があります。
• 2 台目のファイアウォールは 10 月 24 日に攻撃されました。
• 攻撃の流れ全体は 15 分未満で終わりました。
• PHP2Shell の 2 つの弱点 CVE-2026-109618 と CVE-2026-109619 は、どちらも CVSS スコア 9.2 です。

用語の説明

PHP2Shell は、PHP で作られたサーバーに、ログインせずに命令を送れてしまう弱点です。Fragnesia は、Linux の中心部分であるカーネルの弱点で、攻撃者が管理者権限(root)を取るために使われました。米国の CISA は、Fragnesia を「実際に悪用されている脆弱性」の一覧に加えました。

なぜ重要なのか

ファイアウォールは、会社や政府のネットワークを外部から守る大事な機器です。そこが乗っ取られると、内部のネットワークに入られ、さらに別のサーバーにも被害が広がるおそれがあります。攻撃者は一度侵入すると、長く遠隔からアクセスできる状態を保っている可能性があると Dream は述べています。

今後注目すべき点

• Palo Alto Networks が、脆弱なバージョンの PAN-OS の修正を出すかどうか。
• CISA や FBI が、今回の攻撃についてどこまで発表するか。
• 被害を受けた組織が、侵入の痕跡を調べ、攻撃者を締め出せるかどうか。