PHPの緊急脆弱性「php2shell」で攻撃されていないか？サーバーに残る3つの痕跡と確認方法 - インフラ学習サイト「InfraAcademy」

何が書かれているか

前回の記事に続き、アップデートを終えたあとに「すでに攻撃されていないか」を調べる方法を紹介しています。Datadogの解説によると、攻撃の試みは公開の4日前の10月17日に観測されていました。そのため、修正版を入れる前に攻撃を受けた可能性があります。

覚えておきたい数字と事実

• 公開日は2026年10月21日です。
• 攻撃の試みが観測されたのは10月17日です。公開の4日前にあたります。
• 攻撃リクエストには約3.5MBの異常に長いフィールド名が含まれていました。
• エラーログには「Unknown on line 0」という表示と、16777216バイトのメモリ上限を超えたエラーが記録されていました。

調べる前に知っておくこと

アップデートをしても、すでに置かれた不正なファイルや動いている不正なプログラムは消えません。そこで、ログを使って過去の動きを調べます。ログは古いものから自動で消される設定が多いので、調べる前にコピーして保管することが大切です。調べる場所は「届いたリクエスト」「PHPのエラーログ」「Webサーバーが動かしたプロセス」の3つです。

なぜ大切なのか

攻撃されたかどうかは、1つの記録だけでは決められません。エラーが出ない攻撃もあるため、3つの場所の記録を時刻を合わせて見比べることが必要です。もし攻撃が成功していたなら、サーバーの中に不正な動きが残っている可能性があります。早めに確認することで、被害の広がりを防げます。

これから注意して見るべきこと

• 10月17日からアップデート完了までの記録を優先して確認する。
• 異常に大きいPOSTリクエストや、フィールド名が極端に長いリクエストがないか調べる。
• Webサーバーのワーカーがシェルを起動した痕跡がないか確認する。
• WAFの検査上限と、アプリケーションの受け付け上限が合っているか見直す。