Posted By ,

PHP2Shell 脆弱性の再現と AhnLab EDR/XDR を活用した検知

PHP セキュリティチームは2026年10月21日、CVE-2026-109618 および CVE-2026-109619 に対応するセキュリティアップデートを公開した。これらは発生原因こそ異なるが、いずれも認証なしでリモートから任意のコードを実行されるおそれのある脆弱性だ。

AhnLab SEcurity intelligence Center（ASEC）は、公開された PoC を参考に、これらの脆弱性を悪用した攻撃の再現テストを実施した。本記事では、その結果をもとに、AhnLab EDR を活用して攻撃の原因を特定し、適切な対応と再発防止につなげるためのポイントを紹介する。

 

1. PHP2Shell（CVE-2026-109618、CVE-2026-109619）の概要

PHP（PHP: Hypertext Preprocessor）は、Web サイトや Web アプリケーションの開発に広く使われているサーバーサイドのスクリプト言語だ。ユーザーが Web サイトにアクセスすると、サーバー上で PHP コードが実行され、その結果が Web ページとしてユーザーに送られる。これにより、ログイン、会員情報の管理、掲示板、データベース連携、オンライン決済など、さまざまな機能を実装できる。

2026年10月21日に公開された CVE-2026-109618 および CVE-2026-109619 は、PHP 内部のリクエスト処理に起因する脆弱性だ。悪用されると、認証されていない攻撃者がリモートから任意のコードを実行できるおそれがある。

項目 CVE-2026-109618 CVE-2026-109619
脆弱性の種類 メモリ不足時の処理に伴うデータ破損 解放済みメモリに関連する内部状態の再利用
主な原因 リクエストデータの初期化が完了する前にメモリ不足で処理が中断され、その後のクリーンアップ処理で不正なデータが有効なものとして扱われる可能性がある リクエスト処理に使われた内部状態がメモリ解放後も残り、後続のリクエストで初期化前に再利用される可能性がある
想定される影響 認証なしでのリモートコード実行 認証なしでのリモートコード実行
深刻度 CVSS v4.0 9.2 CVSS v4.0 9.2

表 1. 各脆弱性の概要

2. PHP2Shell の再現テスト

再現テストの流れは、以下の動画で確認できる。

  • 0～6秒： 攻撃者側の PC と対象サーバーの IP アドレスを確認する。
  • 6～16秒： 攻撃者側から、PHP を使用する Web サイトに対してテストスクリプトを実行する。
  • 16～20秒： 対象サーバーから攻撃者側の PC への接続が確立され、攻撃者は自分の PC から対象サーバーのコマンドシェルを操作できるようになる。
  • 20～23秒： コマンドが、サーバーの Web サービス用アカウント（www-data）の権限で実行されていることを確認する。
  • 23～29秒： 接続先の IP アドレスを調べ、対象サーバーに接続していることを確認する。

動画 1. PHP2Shell の再現テスト

図 1. 再現テスト時のプロセスツリー

 

3. 対策

3.1. セキュリティアップデートの適用

PHP セキュリティチームは2026年10月21日、2件の脆弱性を修正するセキュリティアップデートを公開した。PHP 8.2～8.5 の各バージョン系列に修正版が提供されており、対象バージョンを使用するすべてのユーザーに対し、速やかなアップデートを推奨している。

公式発表による修正版は以下のとおりだ。アップデートを適用した後は、Web サービスを再起動する必要がある。

PHP バージョン系列 修正バージョン
PHP 8.5 8.5.12
PHP 8.4 8.4.27
PHP 8.3 8.3.36
PHP 8.2 8.2.35

表 2. PHP の重大な脆弱性に対応する修正バージョン

 

3.2. 一時的な緩和策

PHP が公開している以下の情報に従って、必要な Web サーバーの設定変更と再起動を実施する。

 

3.3. EDR/XDR の活用とセキュリティ監視

  • PHP プロセスの異常な挙動の検知
  • Web シェルの作成・実行の検知
  • 不審なファイルの作成や権限変更の監視

 

4. AhnLab EDR/XDR を活用した対応

AhnLab EDR/XDR は、PHP サービスに関連する不審な挙動を、脅威または調査の手がかりとなる主要な挙動として検知する。これにより、管理者による原因の特定を支援し、適切な対応と再発防止のためのプロセス構築につなげる。攻撃者が脆弱性を悪用すると、PHP プロセスを通じて悪意のある動作が実行されるおそれがある。管理者は、以下の検知ルールを活用することで、PHP サービスによる不審なコマンドの実行やファイルの作成などを把握し、対応できる。

 

[EDR/XDR 検知名]

  • Suspicious/MDP.Behavior.M12823
  • InitialAccess/EDR.Event.M13289
  • InitialAccess/EDR.Event.M13291
  • InitialAccess/EDR.Event.M13361
  • InitialAccess/DETECT.Upload.M13367
  • InitialAccess/EDR.Upload.M13395
  • InitialAccess/DETECT.Event.M11450

 

 

関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム 「AhnLab TIP」 サブスクリプションサービスを通して確認できる。

Categories: 脆弱性

Tagged as: ,