Amazon、公開前のPHP2Shellエクスプロイトを特定

Amazon Threat Intelligence、MadPotにおける公開前のPHP2Shellエクスプロイトを特定

Amazon Threat Intelligenceは、2026年10月17日付のMadPotテレメトリにおいて、CVE-2026-109618およびCVE-2026-109619の公開日の4日前のPHP2Shellエクスプロイト試行を特定しました。このエクスプロイト試行は、商用匿名化ネットワークに関連するIPアドレスから発信されていました。脆弱性はエンバーゴ下にあったものの、匿名IPアドレスからのハニーポットへの標的化は、この活動が脅威アクターによって行われたことを示唆していますが、アクターが公開前にエクスプロイト情報をどのように入手したかは不明なままです。

PHPのエンバーゴ期間は2026年10月21日1400 UTCに解除される予定でした。リリース当日、Amazon Threat Intelligenceは、脆弱性に対する複数のProof of Concept（PoC）エクスプロイトを特定しました。最も早いものは2026年10月21日0200 UTC頃でした。その後、2026年10月21日0200 UTCから2026年10月21日0800 UTCにかけて、Amazon Threat Intelligenceは、追加の匿名化インフラストラクチャからPHP2Shellに対する追加のエクスプロイト試行をMadPotに対して特定しました。実際のペイロードと匿名化インフラストラクチャの選択は様々であり、これらが複数のアクターによるものであることを示唆しています。技術的な分析は進行中であり、これらの試行のいずれかが実際のシステムで成功したかどうかは不明です。

エンバーゴ期間の実際の解除は2026年10月21日1400 UTCでした。エンバーゴが解除され、パッチがリリースされると、数時間以内にさらなるPoCエクスプロイトが登場し、それらがほぼ即座に当社のセンサーに対して使用されているのを確認しました。PHP2Shellは現在、広範に悪用されています。

このイベントから得られる2つの教訓は、この1つの脆弱性をはるかに超えて適用できます。

1. エンバーゴは、誰かが同じバグを見つけるまで、防御者を保護するだけです。協調開示は依然として正しいモデルです。しかし、防御者は公開開示日が最初のエクスプロイト日であると仮定すべきではありません。PHP2Shellの場合、侵害はアドバイザリに先行する可能性があります。
2. 構造的な理由により、パッチから動作するエクスプロイトまでの時間が短縮されています。過去には、観測されたエクスプロイトのほとんどが、公開PoCがリリースされた後に発生していました。少数の能力のあるアクターがエクスプロイトを作成し、他のすべてはそれらを待っていました。その依存関係は弱まっています。AI支援分析により、パッチ差分やアドバイザリを動作するエクスプロイトに変換することが安価になっています。その結果、脆弱性の技術的な詳細が公開されると、より多くのアクターが数時間、あるいは数分以内に実行できるようになります。

セキュリティリーダーにとって、これはいくつかの作業仮説を変更します。

1. インターネットに接続されたシステムにおけるクリティカルな脆弱性については、パッチと緩和策のタイムラインを時間単位で測定してください。7日または30日のSLAは、もはや存在しない遅延を前提としています。
2. 開示日ではなく、最も早い既知のエクスプロイトから調査を開始してください。PHP2Shellの場合、少なくとも10月17日から調査を開始してください。
3. 特定のCVEに対するシグネチャに依存しない検出に投資してください。最初のエクスプロイトは、これらのシグネチャが存在する前に発生することがよくあります。

AWSは、顧客を保護するために複数の保護レイヤーを展開しています。当社の内部脅威インテリジェンスシステムは、この脆弱性を標的とした悪意のあるスキャン試行を自動的に検出し、制限しました。当社は毎分2000億件以上のイベントを分析し、MadPotハニーポットネットワークからの脅威インテリジェンスを統合して、既知のエクスプロイト試行をリアルタイムで特定およびブロックしています。当社のハニーポットシステムは、エクスプロイト試行の早期検出を提供し、迅速な対応と脅威分析を可能にします。

1. 直ちに修正されたPHPバージョンにアップグレードしてください。アップグレードは、CVE-2026-109618およびCVE-2026-109619の両方に対する唯一の完全な修復策です。両方の問題を完全に解決する設定のみの回避策はありません。
2. 直ちにパッチを適用できないPHPデプロイメントでは、マルチパートファイルアップロードをブロックすることを検討してください。ただし、展開前にアプリケーションにどのような影響があるかを判断してください。
3. フォームアップロードで "PHP_SESSION_UPLOAD_PROGRESS" 文字列を含むPOSTリクエストを探してください。
4. 疑わしいアクティビティについてWebサーバーログを確認してください。
5. Webアプリケーションサーバー上の予期しないプロセス実行またはファイル変更を確認してください。

特定されたIPアドレスには共有匿名化インフラストラクチャが含まれており、この脅威アクティビティに限定されるものではありません。組織は、これらのアドレスを含む観測をブロックするのではなく、調査すべきです。

AWS Web Application Firewallを使用して、パッチ適用中の露出を軽減する方法については、ブログ記事「Using AWS WAF to apply mitigations for PHP2Shell RCE vulnerabilities (CVE-2026-109618 and CVE-2026-109619)」を参照してください。

ご質問がある場合は、AWS re:Postで新しいスレッドを開始するか、AWS Supportにお問い合わせください。

---