PHP2Shellの悪用によるRCE成功例を研究者が報告

佐々山 Tacos

2026.10.27

[開く][閉じる]

PHP2Shellの悪用によるRCE成功例を研究者が報告

PHP2Shellの悪用によるRCE成功例を研究者が報告

BleepingComputer – October 26, 2026

PHPにおける重大なRCE脆弱性PHP2Shell（CVE-2026-109618、CVE-2026-109619）の悪用を成功させた攻撃活動を、Perplexityの研究者Adel Karimi氏が発見。同脆弱性の悪用試行はこれまでにも観測されていたが、調査目的のものや無効なエクスプロイトを使用したものなどに限られ、RCEや侵害が成功した例はなかったという。

Karimi氏は、自身のハニーポットにおいて、PHP 8.4.26を実行しているApache mod_phpインストール環境に対するリモートコード実行が確認された証拠を記録したと報告している。同氏がGitHub上で公開した技術レポートによると、異なる2つの送信元IPアドレスからCVE-2026-109618を悪用したものとみられる攻撃活動が行われるのを観測し、計3台のハニーポットで合計35回シェルプロセスが起動されるのを確認したという。ただし、2つの活動が同一の攻撃者によるものかどうかは不明とされる。

また、Karimi氏はXへの投稿で、「レスポンスには、デコード済みの約800KiBのCookieダンプが含まれていた。また、そのダンプと公開エクスプロイトのオフセット情報を用いて算出された関数アドレスが、後続のコード実行用ペイロードに含まれていた」と説明。ただ、「今回の証拠は、攻撃が成立しやすいよう意図的に構成された、ワーカープロセスが1つのmod_php環境で一連の攻撃が成立したことを示している。ただし、ワーカープロセス数やPHPのビルド、アプリケーションが異なる環境での攻撃の成功率や再現性を示すものではない」とも断りを入れている。

Expelの脅威研究者で「PHP2Shellの悪用成功例」とされる報告を分析してきたMarcus Hutchins氏も、Karimi氏の報告内容を裏付けている。同氏はXへの投稿において、「これまでに私が目にした中では、実際の攻撃でPHP2Shellが悪用されていることを裏付ける、群を抜いて質の高い証拠だ」とコメントした。

PHPのセキュリティチームは、PHP2Shellのパッチを10月21日に公開済み。しかしその2日後の23日には、新たなRCE脆弱性CVE-2026-115560の緩和策を共有している。この脆弱性に対するパッチはまだ存在しないが、悪用が可能なのは「設定とアプリケーションコードが通常とは異なる形で組み合わされた環境」を標的とする場合のみだとされる。

CVE-2026-115560のセキュリティパッチが公開されるまでの間、管理者には潜在的な攻撃を防ぐために設定項目「session.upload_progress.enabled」を「0」に変更することが推奨されている。なおこの緩和策は、PHP2Shellの脆弱性に対する修正パッチが公開される前にも推奨されていた。