アマゾン、公開前に10月17日のPHP2Shell悪用を特定

概要

Amazon Threat Intelligence は、 PHP2Shell脆弱性 の公開前から攻撃の試みを検知。 CVE-2026-109618/109619 に関する攻撃が、エンバルゴ期間中に発生。 攻撃元は 匿名化インフラ を利用し、複数の攻撃者の存在を示唆。 パッチ公開から 数時間以内 に実証コードが拡散し、攻撃が急増。 防御側は 公開日以前から調査・対応 が必要で、即時パッチ適用が推奨。

PHP2Shell脆弱性と攻撃の流れ

• 2026年10月17日、AmazonのMadPotテレメトリで PHP2Shell悪用の試み を初検知。
• 該当攻撃は、 CVE-2026-109618 と CVE-2026-109619 の 公開4日前 に発生。
• 攻撃元は 商用匿名化ネットワーク 由来のIPアドレスを使用。
• 脆弱性は エンバルゴ下 で、攻撃者がどのように情報を入手したかは不明。
• エンバルゴ解除日時：2026-10-21 14:00 UTC。
• 公開当日、 複数のPoC（実証コード） が流通開始。
  • 最も早いものは 2026-10-21 02:00 UTC 頃に確認。
• その後6時間で、 複数の匿名化インフラ から追加攻撃を検知。
• 攻撃ペイロードやインフラの多様性 から、複数の攻撃者が関与している可能性。
• 技術分析は継続中で、実際のシステムで攻撃が成功したかは未判明。

防御側への示唆と教訓

• エンバルゴは防御側の猶予を保証しない ことを再認識。
• 公開日が最初の攻撃日とは限らない ため、調査は 最初の悪用検知日 から開始すべき。
• パッチから実用的な攻撃コードが出回るまでの時間が短縮 傾向。
  • AI支援解析により、パッチ差分やアドバイザリから 短時間で攻撃コード作成 が可能に。
• 重要なインターネット公開システム では、 パッチ適用や緩和策のSLAを「数時間単位」 で設定推奨。
• 既知CVEのシグネチャ依存の検知 だけでなく、 振る舞い検知 も強化必要。

AWSの対応と推奨策

• AWS内部脅威インテリジェンス は、悪意あるスキャンを自動検出し制限。

• 毎分2000億件超のイベント分析 と、 MadPotハニーポット によるリアルタイム脅威検知。

• エンバルゴ解除後数時間で攻撃急増、即時対応の重要性を強調。

• PHP最新版への即時アップグレード が唯一の完全な対策。

  • CVE-2026-109618/109619 両方に有効な設定のみのワークアラウンドは存在しない。

• 即時パッチ適用が困難な場合は、 multipartファイルアップロードの一時停止 も検討。

  • ただし、アプリケーションへの影響を事前評価必須。

監査・検知のポイント

• PHP_SESSION_UPLOAD_PROGRESS を含むPOSTリクエストの監視。
• Webサーバーログの 不審な活動 の確認。
• プロセス実行やファイル改ざん の兆候をチェック。

攻撃に関連したIPアドレス一覧

• 103.216.220.92（2026/10/17）

• 31.223.184.166（2026/10/21）

• 37.19.200.5（2026/10/21）

• 134.209.159.64（2026/10/21）

• 103.114.163.188（2026/10/21）

• 95.217.98.37（2026/10/21）

  • これらIPは 共有匿名化インフラ であり、他用途でも利用される点に留意。
  • ブロックではなく、関連観測時の調査 を推奨。

追加リソースとサポート

• AWS WAF による緩和策の詳細は、AWS公式ブログ「Using AWS WAF to apply mitigations for PHP2Shell RCE vulnerabilities (CVE-2026-109618 and CVE-2026-109619)」を参照。
• 質問や相談 は、AWS re:PostスレッドまたはAWSサポートまで。