N環球 
Amazon: PHP2Shell 攻撃はパッチ適用の 4 日前に始まり、現在では広範囲に悪用されています
Amazon Threat Intelligence によると、PHP2Shell の重大な欠陥に対する悪用の試みは、パッチが出荷される 4 日前である 10 月 17 日に始まり、現在この欠陥は広く悪用されているとのことです。
なぜそれが重要なのか
PHP は、WordPress、Drupal、Joomla など、世界中の Web サイトの最大 80% をサポートしています。 2 つの重大な欠陥 (CVE-2026-109618 および CVE-2026-109619、CVSS 9.2) により、認証前のリモート コード実行が可能になります。 Amazonは、攻撃者が公開を待たなかったことを確認した。最初のエクスプロイトの試みは、PHP財団が10月21日にパッチを出荷する4日前の10月17日に到着した。公開日が攻撃の開始を示すという仮定はもはや成り立たず、防御側は10月17日から調査を開始しなければならない。
完全なレポート
Amazon の脅威インテリジェンス チームは、10 月 22 日のセキュリティ ブログ投稿で、同社の MadPot ハニーポット ネットワークが、脆弱性がまだ禁止されていた 10 月 17 日に最初の PHP2Shell 悪用の試みを記録したことを明らかにしました (一般公開は 10 月 21 日 14:00 UTC)。この試みは、商用匿名化ネットワークに関連付けられた IP アドレスからのものでした。 Amazonの最高情報セキュリティ責任者であるCJ Moses氏は、「攻撃者が公開前にエクスプロイト情報をどのように入手したかは依然として不明である」と述べた。
10 月 21 日自体、Amazon は複数の概念実証エクスプロイトを確認しましたが、最も早いものはパッチリリースの約 12 時間前でした。ペイロードと匿名化されたインフラストラクチャは多様であり、複数の異なる攻撃者がいることを示唆しています。パッチの配布から数時間以内に、Amazon のセンサーに新たなエクスプロイトが仕掛けられました。 Amazonは現在、PHP2Shellが「広く悪用されている」と説明しており、Cloudflareで確認された試みは数百万件に上っている。
Dataminr は同日、観察された活動はスキャン、フィンガープリンティング、および機能しないエクスプロイトに限定されており、既知の侵害はないと述べたが、機能するエクスプロイトは時間の問題であると述べた。
背景
この欠陥はすべての PHP 7.x および 8.x リリースに影響を及ぼし、カリフォルニア州、OpenAI、および Google 所有の Wiz の研究者によって発見されました。このバグのあるコードは、OpenAI の資金提供による 8 月の監査で AI モデルが使用され、実質的に悪用可能であることが示されるまで、何年も PHP 内に放置されていました。これが「PHP2Shell」の名前の由来です。修正リリース: PHP 8.5.12、8.4.27、8.3.36、および 8.2.35。
Amazon のアドバイス: PHP をアップグレードすることが唯一の完全な修復方法です。調査は10月17日から開始されるべきである。まだパッチを適用できないシステムは、何が壊れるかをテストした後、マルチパート ファイルのアップロードをブロックすることを検討するかもしれません。
💬 Comments
No comments yet. Be the first!