PHPで見つかった重大脆弱性2件「PHP2Shell」を巡り、修正パッチの公開前から攻撃の試みが始まっていたことが分かった。脆弱性情報の流出後は攻撃コードの拡散も加速しており、未更新のホストもなお多数残っている。SecurityWeekが22日、Amazonの分析を基に報じた。

報道によると、この2件の脆弱性は「PHP2Shell」と総称され、悪用されれば攻撃者が遠隔からサーバを制御できるおそれがある。

PHP Foundationと協力企業は数週間かけて修正と検証を進め、21日にパッチを公開した。しかし、その前日の20日には脆弱性情報がオンライン上に流出し、これを受けて攻撃コードが急速に広がったという。

Amazonによれば、最初の攻撃試行は脆弱性がまだ公表されていなかった17日に確認された。発信元は匿名化ネットワーク経由だった。さらに公表のおよそ12時間前には、別の匿名化インフラ経由でも複数の攻撃コードが見つかった。Amazonは、複数の攻撃者が関与しているとみている。

Amazonは「パッチ公開から数時間で追加の攻撃コードが出回り始め、PHP2Shellはすでに広範に悪用されている」と説明した。

Cloudflareのマシュー・プリンスCEOは、「脆弱性公開前の10時間だけで数千件の攻撃試行があった」と明らかにした。さらに「公開45分後には数万件、2時間以内には数十万件に増え、現在は数百万件に達している」と述べた。セキュリティ企業WatchTowrは、拡散している攻撃コードの多くについて、正常に動作しないか、標的サーバを停止させるにとどまるとしている。

未更新のホストが依然として多いことも確認されている。Censysは21日時点で、インターネットに接続された約157万台のPHPホストが未更新のまま稼働していると集計した。VulnCheckは、サポートが終了した旧版PHPを使うホストも少なくとも100万あると明らかにした。

米サイバーセキュリティ・インフラ安全保障庁（CISA）は21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35への速やかな更新を勧告した。

専門家の間では、今回のPHP2ShellをLog4jの脆弱性「Log4Shell」になぞらえる見方も出ている。Forescoutのマネージャー、サイ・モリゲ氏は「Log4Shell級の事案になり得る」と指摘。「Log4Shellでは、どこで使われているかの特定が難しかった。PHPでは放置されたサーバが見つかっても、サポート終了版のため公式パッチを適用できないケースが多い」と述べた。