PHP2Shell、修正4日前に攻撃試行 Amazonが報告

PHPの2件の深刻な脆弱性「PHP2Shell」について、Amazonは修正プログラムが公開される4日前の2026年10月17日から、攻撃者によるサーバーへの試行が始まっていたと明らかにした。PHPファウンデーションと業界パートナーは2026年10月21日に修正プログラムを公開した。両脆弱性は攻撃者がサーバーを遠隔操作できる可能性があるもの。

Amazonによると、最初の攻撃試行は脆弱性が公になる前の段階で、匿名化ネットワークから送られた。同社は複数の攻撃者が関与しているとみており、PHP2Shellは現在広く悪用されているとしている。

CloudflareのCEO、マシュー・プリンス氏は、攻撃試行が公開前の数千件から公開後2時間で数十万件、現在は数百万件に増えたと述べた。

一方、セキュリティ企業のWatchTowrは、出回っている攻撃コードの大半は動作しないか、標的のサーバーをクラッシュさせるだけだと指摘している。Censysは2026年10月21日時点で、インターネットに接続されたPHPホスト約157万台が未修正だと集計した。VulnCheckは少なくとも100万台がサポート終了版のPHPを稼働させているとした。

CISAは2026年10月21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35のいずれかへ直ちに更新するよう勧告した。専門家はPHP2Shellを、Log4jライブラリの脆弱性Log4Shellに例えている。今回の脆弱性の詳細は2026年10月20日にオンラインに流出し、攻撃コードが急速に広がった。