PHP の脆弱性 (CVE-2026-109618、CVE-2026-109619) を悪用する概念実証コードが公開

10 月 22 日 21:21 UTC：前回の報告内容の訂正と新たな洞察、対策、指標

前回のブログ (10 月 22 日 16:18 UTC) では、ソフォスが顧客環境において PHP2Shell の悪用が成功した事例を確認したと報告しました。その後、さらに分析を進めた結果、ソフォスの顧客環境から収集されたテレメトリで、スキャンと少数の悪用の試み (いずれも失敗) が確認されたため、先の評価を訂正します。今回の更新時点では、これらの脆弱性を悪用した侵害が成功したことを示す証拠はありません。

攻撃に使用されたペイロードは、Potassium として知られる Mirai ボットネットの亜種と考えられます。今回の悪用の試みはソフォスの対策によって阻止され、失敗に終わったため、ペイロードは配信されていません。ただし、このサンプルを分析したところ、2026 年初頭に特定された Mirai 由来のボットネット亜種を更新し、大幅に機能を拡張したものであることが判明しました。このサンプルには、ダウンローダー機能とネットワークを妨害する機能が備わっています。このサンプルは、ハードコードされ暗号化されている C2 アドレスを解決し、134[.]199[.]154[.]64 に TCP 接続を確立したうえで、HTTP リクエストを送信します。HTTP ステータスコードが 200 であることを確認するとともに、取得したペイロードの先頭が ELF のマジックバイト (7F 45 4C 46) であることを検証します。このことから、後続のペイロードとして Linux 用の ELF ファイルを取得することを想定していると考えられます。名前解決関数は、IPv4 アドレスとホスト名の解決に対応しています。また、名前解決に失敗した場合に備えた追加のフォールバック処理も実装されており、その場合には 8.8.8.8、1.1.1.1、1.0.0.1 などのハードコードされたパブリック DNS サーバーが使用されます。従来の Mirai マルウェアと同様に、このサンプルは DDoS 攻撃を実行する機能も備えています。

ソフォスによる脆弱性の分析からは、これらの脆弱性を悪用するエクスプロイトの開発は容易ではないことが示唆されています。ソフォスのアドバーサリーグループは、エクスプロイトの開発を試みていますが、AI の支援を受けても開発は困難であることが分かっています。エクスプロイトによる実際の攻撃が成功した事例が確認されていないことから、サイバー攻撃者も同様に苦戦していると考えられます。攻撃を成功させるエクスプロイトを開発したと主張しているセキュリティ研究者もいますが、それらのエクスプロイトは実環境ではなく、ラボ環境でのみ機能する可能性があります。また、攻撃を成功させるには、特定の依存関係や設定が必要となる可能性もあります。現時点で攻撃活動は限定的ですが、これらの脆弱性が深刻であることに変わりはありません。今後、時間の経過とともに、サイバー攻撃者が効果的なエクスプロイトを開発する可能性があります。引き続き、緊急のパッチ適用を最優先の対策として実施することを推奨します。

この脅威に対応するため、ソフォスでは以下の新たな対策を追加しています。

• Sophos Firewall の IPS シグネチャ：67359、67360、67375、2313184、2313185、2313187、2313188

• Sophos Endpoint の IPS シグネチャ：2313184、2313185、2313187、2313188、2313189

これらは、既存の Sophos Endpoint XDR、Taegis XDR、Windows 振る舞い検知、および Linux ランタイム検知の各ルールに追加されます。

CTU の研究者も、以下の表に示す追加の指標を今回の攻撃活動に関連付けています。IP アドレスは、割り当て先が変更される可能性があります。また、これらのドメインと IP アドレスには悪意のあるコンテンツが含まれている可能性があるため、ブラウザで開く際はリスクを十分に考慮してください。

10 月 22 日 16:18 UTC：ソフォスによる観測結果、悪用活動、対策、および指標

これら 2 つの脆弱性は、現在、一般に「PHP2Shell」と呼ばれています。概念実証 (PoC) のエクスプロイトコードが公開されており、ソフォスの脅威ハンターは、PHP2Shell に関連する活動と一致する複数の悪用の試みと、悪用に成功した事例を 1 件特定しています。ソフォスによる分析では、これらの脆弱性を悪用することは可能であると結論付けています。ただし、その後のリモートコード実行が成功するかどうかは、システム構成、PHP のバージョン、および設定に左右されます。今回の更新時点で、ソフォスのアナリストは、今回の活動がランサムウェアの展開、データの窃取、またはサプライチェーン侵害に結び付いていることを示す証拠を確認していません。

ソフォスの脅威ハンターが観測した攻撃活動は、IP アドレス 45[.]198[.]224[.]169 から発生しており、Potassium として知られる Mirai の亜種とみられるペイロードが配信されていました。このトラフィックには、スキャン活動を示す User-Agent 文字列、マルチパートの境界文字列、および特徴的な POST リクエストのパターンが含まれていました。この攻撃活動では、ペイロードが /tmp/nfs に書き込まれ、./nfs php として実行されました。

ソフォスのアナリストが観測した脅威指標を以下に示します。

PHP2Shell に関連する攻撃に対して、ソフォスは以下の対策を講じています。

• UNX-CAC-PRC-PARENT-WGETPHP-DOWNLOAD-1
• UNX-CAC-PRC-PHP-REVERSE-SHELL-1
• WIN-CAC-PSH-WEBCLIENT-UPLOAD-1
• WIN-DIS-PRC-SUSP-WEB-SERVER-1
• WIN-DIS-PRC-SUSP-WEB-SERVER-1-LOW
• WIN-EXE-PRC-PHP-EXE-IN-SUSPICIOUS-USERS-PATH-1-HIGH
• WIN-PER-PRC-WEBSHELL-SPAWN-SUS-PROCESS-1

10 月 21 日 17:01 UTC：脆弱性悪用の兆候の監視について

以下のような動作や変化は、これらの脆弱性が悪用されている兆候である可能性があります。

• 通常よりも長く続くネットワークセッション (PHP サービス上で動作するアプリケーションのネットワーク接続には、通常、一定のパターンがあります)

• 正規のプロセス名のスペルをわずかに変えたものなど、通常とは異なるプロセス名や、正規のものに見えるものの通常とは異なる場所に存在するプロセス

• 信頼性評価の低いインフラからの、通常とは異なる少量の受信トラフィック

10 月 21 日 14:28 UTC：PHP による更新プログラムの公開と追加情報の公表を受け、当初のアドバイザリ (12:55 UTC 頃に公開) を改訂

概要

2026 年 10 月 20 日、PHP は 2 件の重大な脆弱性 (CVSS スコア：9.2) に対処するセキュリティアップデートを近日中にリリースすると発表しました。サードパーティの情報源により、これらの脆弱性は CVE-2026-109618 および CVE-2026-109619 として特定されました。レポートによると、これらの問題は複数の PHP バージョンに影響し、リモートコード実行を可能にします。

10 月 21 日、PHPはこれらの問題に対処する更新バージョンをリリースし、「Web リクエストを処理するすべての PHP 環境」が攻撃を受けるリスクがあると述べました。X プラットフォームのユーザーが、動作する概念実証 (PoC) エクスプロイトを作成したと主張しています。本記事の公開時点では、実環境における悪用は報告されていません。

推奨される対応

Counter Threat Unit™ のリサーチャーは、潜在的に脆弱なシステムを特定し、必要に応じてアップグレードすることを推奨しています。当面の措置として、インターネットに公開されている PHP ベースのシステムについて、可能であればオフラインにするか、ネットワーク層で認証を適用する仕組み (ZTNA など) の背後に配置することを検討してください。また、ネットワーク防御担当者は、自組織の環境が攻撃される可能性を評価し、不審な活動を監視する必要があります。PHP のアドバイザリには、直ちにアップグレードできない組織向けの緩和策が記載されていますが、完全な解決策はアップデートの適用のみであるとされています。

ソフォスの対策

SophosLabs は、これらの脆弱性に関連する攻撃の動向の監視を継続しており、検知ルールや保護機能が利用可能になり次第、提供する予定です。

また、ソフォスの製品やサービスが影響を受けるかどうかを確認するため、社内調査も進めています。