PHP2Shell悪用、ハニーポットで35回のシェル実行を確認

Perplexityのセキュリティ研究者であるAdel Karimi氏が運用するハニーポット3台で、2026年10月24日に35回のシェル実行が確認された。PHPの脆弱性「PHP2Shell」のうちCVE-2026-109618を悪用した攻撃で、dailysecu.comが報じた。

攻撃には2つのIPアドレスが使われ、一方が3回、もう一方が32回のシェル実行を発生させた。標的となったシステムはApache mod_php上でPHP 8.4.26を稼働させていた。

攻撃は複数段階のHTTPリクエストで構成され、PHPのメモリを枯渇させたうえで内部メモリの情報を漏えいさせ、コマンドを実行する手順だった。攻撃の流れは公開されている実証コード（PoC）とCVE-2026-109618の悪用手法に一致した。追加のマルウェアをダウンロードするなどの後続の不正活動は確認されていない。

修正版の適用を推奨

PHP開発チームは修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35を公開し、直ちに更新するよう呼びかけている。

PHP2ShellはCVE-2026-109618とCVE-2026-109619の総称で、CVSS v4.0で9.2の重大と評価され、2026年10月21日に公表された。Deutsche Telekomのセキュリティチームは公表直後に悪用コードに類似したリクエストを観測し、Amazon Threat Intelligenceは正式公表前の2026年10月17日から攻撃の試行を検知していた。