PHP2Shellの悪用試行と修復動向について、Wiz Research teamが観測結果を報告

Wiz Research teamは、2026年10月21日に公開されたPHP2Shellについて、限定的な悪用試行を観測したと報告した。Wizのテレメトリでは、エンドツーエンドの悪用が成功した事例は確認されていないという。

PHP2Shell（CVE-2026-109618、CVE-2026-109619）は、PHPに存在する脆弱性で、2026年10月21日に公開された。Wizは2026年10月27日付のブログ記事で、公開後の悪用試行と修復の動向を報告した。

観測された悪用試行

Wizは、テレメトリ上で限定的な数の悪用試行を観測したとしている。Wiz Research teamは公開されているエクスプロイトコードを確認し、関連する活動を監視している。一方で、任意の標的に対して完全かつ汎用的なエンドツーエンドの悪用を示す公開PoCは確認されていない。

• 不完全なエクスプロイトキットの2つの亜種は、エクスプロイトチェーンを完了できなかった。
• PHP2Shellを名乗るツールは、脆弱性ではなくセッションポイズニングとLFIに依存していた。
• 85.11.187[.]35からのトラフィックは、WoYinDao/CVE-2026-109618-CVSS-9.2-CriticalのChain Aを Go に移植したものと一致し、セッションポイズニングとlfi_sink.phpを利用していた。

ハニーポットでの検証結果

Wiz PHP-CGIハニーポットへの最初のリクエストは3.37.227[.]134から届き、キットの古いチェーンと一致した。このチェーンは、宣言されたリクエストサイズが設定上限の8 MB post_max_sizeを超えたため失敗した。

捕捉されたすべてのA1リクエストは、想定されたメモリ枯渇に対応するPHPエラーを伴うHTTP 500を返した。B1の実行では、1回を除いて応答なしで接続が閉じられた。残りの1回では、通常の32-character session cookieが返された。捕捉された送信元のいずれも、最終的な悪用段階は送信していなかった。

• 旧チェーンの最初の完全な悪用段階のマルチパートボディには、1,005パートが含まれていた。
• フィールド名bigには、約12 MBのパディングが含まれていた。
• ヒープ整形リクエストは、各3,000バイトのフィールド1,001個で構成されていた。
• 178.249.214[.]6は、400件のGETリクエストとともに399件の停止状態の接続を開いた。178.249.214[.]6はVPN出口ノードである。
• キットのB1レイアウトは128 MBのメモリ上限を前提に計算されていた。Roundcubeハニーポットのメモリ上限は64 MBであった。

メモリレイアウトやビルドの違いはヒープ配置とメモリ再利用に影響し、情報漏えいを機能させない可能性がある。A1から残ったセッション状態は保持されていなかった可能性があるが、A1だけではこれを確認できない。

公開後の脆弱な環境の減少

Wizテレメトリでは、公開後の数日間で、PHP2Shellに脆弱なインターネット公開マシンの日次の異なる台数が約67%減少したことが記録された。同期間に、重大な影響を受けた組織の数は約47.9%減少した。

• 脆弱なインターネット公開マシンの日次台数：約67%減少
• 重大な影響を受けた組織の数：約47.9%減少
• 脆弱なマシンのうちPHP 7.3以前を稼働させるものの割合：5日間で8.3%から5.7%に低下
• Wizのデータセットにおいて、PHP自体を利用している組織の割合：65%
• 当初影響を受けた組織のうち、公開から1週間後も脆弱な状態が続いているもの：less than 53%

この減少は、組織がパッチ適用、アップグレード、マシンの廃止、インターネットアクセスの制限によって露出を減らしたことと整合するとみられる。Adel Karimi氏のハニーポットは、スキャナー15