PHP2Shellは公表前から狙われていた
Amazon Threat Intelligenceは、PHPの緊急脆弱性「PHP2Shell」を悪用しようとする試みを、脆弱性の公表4日前に観測したと明らかにした。対象はCVE-2026-109618とCVE-2026-109619の2件である。
Amazonは、攻撃者を誘引して活動を観測するハニーポットMadPotを使い、10月17日に試みを検知した。アクセス元は商用の匿名化ネットワークに関連するIPアドレスだったが、攻撃者が公表前に情報を得た方法は分かっていない。
修正版の公開後、悪用が急速に拡大
10月21日には修正版の公開前から複数の悪用コードが出回り、複数の攻撃者によるとみられる試みが観測された。修正版の公開後も、数時間以内に新しい悪用コードが登場し、悪用事例が相次いだという。
AWSは、自社の脅威インテリジェンス基盤がPHP2Shellを狙う悪意あるスキャンを自動検出し、制限したと説明している。
AIが短縮する「パッチ公開から攻撃まで」の時間
AmazonのCISOであるCJ・モーゼス氏は、AIを使って修正内容を分析し、攻撃コードを作ることが容易になったと指摘した。その結果、修正版の公開から攻撃開始までの時間は数時間、場合によっては数分に縮まっているという。
これはAmazon側の見解であり、記事では今回観測された各攻撃コードが実際にAIで作成されたと確認されたとは述べられていない。
セキュリティ部門が見直すべき3つの前提
1. 対応期限を「時間」単位で管理する
インターネットに公開されたシステムの深刻な脆弱性について、7日や30日ではなく時間単位で対応を管理する。攻撃開始までの猶予が急速に失われているためだ。
2. 公表前まで遡って侵害を調査する
調査の起点を脆弱性の公表日に固定せず、最も早い悪用の確認時点まで遡る。PHP2Shellでは、少なくとも10月17日以降を調査対象にするようAmazonは求めている。
3. シグネチャに依存しない検知へ投資する
個別の脆弱性に対応した攻撃パターンが作られる前に悪用が始まる可能性がある。既知のシグネチャだけに頼らず、不審な挙動を捉える検知の仕組みが必要だとしている。
使用されたツールと仕組み
- MadPot：攻撃者を誘引し、悪用の試みを観測するAmazonのハニーポット。今回は公表前のアクセス検知に使われた。
- Amazon Threat Intelligence：脅威を調査・分析するAmazonのチーム。観測結果と対応上の教訓を公開した。
- AWSの脅威インテリジェンス基盤：PHP2Shellを狙う悪意あるスキャンを自動的に検出し、制限したとされる仕組み。
- AIによる修正内容の分析：公開された修正差分などから攻撃コードを作る工程を速める用途として言及された。特定のAI製品名は記事に記載されていない。
まとめ
PHP2Shellの事例では、公表前の悪用の試みと、修正版公開後の急速な攻撃拡大が観測された。Amazonは、AIが攻撃コード作成を容易にしているとの認識を示し、時間単位の対応、公表前に遡る調査、シグネチャに依存しない検知への移行を提言している。
