PHP脆弱性、パッチ公開4日前から悪用
原題: Hackers Exploited the PHP Vulnerabilities Days Before They Were Patched
なぜ重要か
PHPは世界中の膨大なWebサービスの基盤であり、パッチ公開前の悪用観測はサプライチェーン全体の修正サイクルが実態に追いついていないことを示す。
2026年10月21日、Amazon Web Servicesは「PHP2Shell」と呼ばれるPHPの重大な脆弱性2件が、10月17日時点——公式パッチ公開の4日前——からハニーポットへの攻撃試行として観測されていたと発表した。パッチ公開後は複数の攻撃者により「広範に悪用」されており、管理者は緊急対応に追われている。
AWSのCISO、CJ Mosesが公開したレポートによると、同社のハニーポット（意図的に脆弱な状態に置いた観測用サーバー）に対し、10月17日に匿名化されたIPアドレスからPHP2Shellの悪用試みが記録されていた。このIPアドレスは「商業匿名化ネットワーク」、つまりプロキシまたはVPNに紐付いていた。
公式パッチと修正内容が公開された10月22日（水）の時点で、攻撃者はすでにその修正を逆解析し、脆弱性の仕組みを把握していたとみられる。一部の概念実証（PoC）コードは、公式開示時刻である米東部時間午前10時よりも数時間早く出回り始めていた。パッチ公開前後には複数の異なる匿名化サービス経由で、複数の攻撃目的を持つと思われる試みが続々と観測された。Moses氏は「これらの試みが実際のシステムで成功したかどうかは技術分析中であり不明」としながらも、「PHP2Shellは現在、野生で広範に悪用されている」と明言した。
一部の政府機関や組織はパッチ公開を見越して主要サイトを事前に停止させるなど、異例の対応を取った。それでも、開示前の悪用試みを完全には防ぎきれなかった実態が浮かび上がった。
Moses氏が強調するのは、今回の事案がAIツールの普及による脅威環境の変化を象徴している点だ。「パッチ公開から機能するエクスプロイト完成までの時間は、構造的な理由で縮まっている。以前は技術力の高い少数のアクターだけがエクスプロイトを開発し、他は公開されたPoCを待つ構図だったが、AIによる解析支援でその依存関係が崩れている」と指摘した。PHP Foundationは本稿執筆時点でWIREDのコメント要請に応じていない。