- 攻撃者はPHP2Shellを使用して、Mirai由来のPotassium DDoSボットネットをインストールしようとしています。
- 研究者たちは広範な悪用試行を確認していますが、10月23日時点で公的に確認された大規模侵害はありません。
- 本番環境でのエクスプロイトが利用可能になり、管理者に脆弱なPHPインストールのパッチ適用を急ぐよう圧力がかかっています。
「実用的かつ非常に深刻である。」
— John Hultquist氏（Google）、The Recordの引用による。
DDoSボットネットがホスティングおよび暗号通貨事業者を懸念する理由
より広範な脅威はすでに深刻です。Cloudflareによると、2026年上半期には1テラビット超のDDoS攻撃が935件記録されました。
これらの攻撃はPotassiumに関連付けられていません。それでも、それらはホスティングプロバイダー、決済処理業者、暗号通貨プラットフォームが直面している混乱を示しています。PHP2Shellによる金銭的損失は確認されていません。
PHPの新規アドバイザリと注目すべき点
10月23日、PHPは別の問題（CVE-2026-115560）を公開しました。これは異常なアプリケーション設定に関連するものです。通常の修正パッチが出るまでの間、session.upload_progress.enabled=0の設定を推奨しています。これはCVE-2026-109619に対する緩和策としても機能します。
管理者はPHP 8.5.12、8.4.27、8.3.36、または8.2.35をインストールし、ワーカーを再起動して、不審なダウンロードを監視する必要があります。
CobaltのCISOであるAndrew Obadiaru氏は、この静かな期間について以下のように警告しています：
「借りた時間である。」
— Andrew Obadiaru氏（Cobalt）、The Recordの引用による。
「ゴミであり、非機能的である。」
— Spencer McIntyre氏（VulnCheck）、The Recordの引用による。
この保護策は完全ではありません。VulnCheckは、本番環境で構成されたPHP 8.4.26におけるASLRを回避するプライベートエクスプロイトを開発し、後に選択された8.4および8.5ビルドへの対応範囲を広げました。
GoogleのJohn Hultquist氏はこの脅威を次のように呼びました：
「実用的かつ非常に深刻である。」
— John Hultquist氏（Google）、The Recordの引用による。
DDoSボットネットがホスティングおよび暗号通貨事業者を懸念する理由
より広範な脅威はすでに深刻です。Cloudflareによると、2026年上半期には1テラビット超のDDoS攻撃が935件記録されました。
これらの攻撃はPotassiumに関連付けられていません。それでも、それらはホスティングプロバイダー、決済処理業者、暗号通貨プラットフォームが直面している混乱を示しています。PHP2Shellによる金銭的損失は確認されていません。
PHPの新規アドバイザリと注目すべき点
10月23日、PHPは別の問題（CVE-2026-115560）を公開しました。これは異常なアプリケーション設定に関連するものです。通常の修正パッチが出るまでの間、session.upload_progress.enabled=0の設定を推奨しています。これはCVE-2026-109619に対する緩和策としても機能します。
管理者はPHP 8.5.12、8.4.27、8.3.36、または8.2.35をインストールし、ワーカーを再起動して、不審なダウンロードを監視する必要があります。
CobaltのCISOであるAndrew Obadiaru氏は、この静かな期間について以下のように警告しています：
「借りた時間である。」
— Andrew Obadiaru氏（Cobalt）、The Recordの引用による。
攻撃者は脆弱なPHPサーバーをカリウムボットに変えようとしています。これは分散型サービス妨害（DDoS）攻撃のために設計されたMirai由来のネットワークの一部です。しかし、現時点では彼らは苦戦しています。 The Hacker News 10月23日、サーバー侵害は確認されていないと報じました。
サイバー攻撃の主な標的となった2つの重大なPHP脆弱性、CVE-2026-109618とCVE-2026-109619は、どちらも深刻度スコア9.2（満点10）を獲得しました。PHPは10月21日にパッチを公開しましたが、その時点ではハッカーたちはすでにこれらの脆弱性を狙った攻撃を開始していました。
Sophosが報告し、その後撤回した内容
Arctic Wolfレポートによると、実行されたコマンドとマルウェアのダウンロードは、Potassiumに関連付けられています。サンドボックス環境で実施された別の評価では、IP 134.199.154[.]64 の TCP ポート 50792 経由で thunder.godofthunder[.]st にアクセスし、ウクライナの 2 つのホストに対して攻撃を行った別のサンプルが確認されました。
これはマルウェアの可能性を示すものではありましたが、攻撃者が本番サーバーに侵入したことを意味するものではありません。10月22日、Sophosは以前の成功に関する発表を取り下げ、The Recordに対して、失敗に終わった攻撃の試みを観察しただけであると述べています。
数百万回のプローブ、ゼロ件の確認された侵入
しかし、これらの数字は攻撃者がどのように探査を行っているかを示しています。Impervaの記録によれば、24時間以内に103か国の21,998サイトを対象とした122,311セッションで482,342件のリクエスト試行が記録されました。
また、Censysは、22日時点で、影響を受けるバージョンを実行しているインターネット向けのPHPサービスが4100万件を超え、パッチされたバージョンのソフトウェアを導入したインスタンスは約100万件にとどまったと報告した。スキャンの件数や被曝者数だけでは、実際に侵害が行われたことを証明するには不十分である。
24 フラッドコマンドと休眠中のENSスイッチ
Arctic Wolf has revealed that 24 flood commands include all types of ICMP, TCP, UDP, and Open VPN. There is also the presence of Ethereum Name Service (ENS) lookup features in both ARM and x86-64 Potassium versions, but this has been turned off in both instances.
EthereumおよびENSは侵害されていません。ただし、ENSルックアップ機能を有効にすると、従来のDNSやIP制御を使用したコマンドサーバーのブロックがより困難になる可能性があります。
ゴミのようなPoC versus 動作するプライベートエクスプロイト
多くの公開プロトタイプ（PoC）エクスプロイトは、特にアドレス空間レイアウトランダム化（ASLR）などの本番環境の防御に対して失敗します。VulnCheckのスペンサー・マッキンタイア氏は、流通しているサンプルの多くについて以下のように説明しました：
「ゴミであり、非機能的である。」
— Spencer McIntyre氏（VulnCheck）、The Recordの引用による。
この保護策は完全ではありません。VulnCheckは、本番環境で構成されたPHP 8.4.26におけるASLRを回避するプライベートエクスプロイトを開発し、後に選択された8.4および8.5ビルドへの対応範囲を広げました。
GoogleのJohn Hultquist氏はこの脅威を次のように呼びました：
「実用的かつ非常に深刻である。」
— John Hultquist氏（Google）、The Recordの引用による。
DDoSボットネットがホスティングおよび暗号通貨事業者を懸念する理由
より広範な脅威はすでに深刻です。Cloudflareによると、2026年上半期には1テラビット超のDDoS攻撃が935件記録されました。
これらの攻撃はPotassiumに関連付けられていません。それでも、それらはホスティングプロバイダー、決済処理業者、暗号通貨プラットフォームが直面している混乱を示しています。PHP2Shellによる金銭的損失は確認されていません。
PHPの新規アドバイザリと注目すべき点
10月23日、PHPは別の問題（CVE-2026-115560）を公開しました。これは異常なアプリケーション設定に関連するものです。通常の修正パッチが出るまでの間、session.upload_progress.enabled=0の設定を推奨しています。これはCVE-2026-109619に対する緩和策としても機能します。
管理者はPHP 8.5.12、8.4.27、8.3.36、または8.2.35をインストールし、ワーカーを再起動して、不審なダウンロードを監視する必要があります。
CobaltのCISOであるAndrew Obadiaru氏は、この静かな期間について以下のように警告しています：
「借りた時間である。」
— Andrew Obadiaru氏（Cobalt）、The Recordの引用による。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
よくある質問
Potassiumとは何か？
Potassiumは、Synthientによって2026年3月に最初に検出されたMirai由来のボットネット変種で、Sophosによると現在ダウンローダーおよびネットワーク妨害コードを搭載し、ICMP、TCP、UDP、OpenVPNを含むプロトコルを介してDDoS攻撃を実行できます。
実際にPHP2シェルを通じてサーバーが侵害された事例はありますか？
いいえ。Sophosは10月22日に成功した攻撃に関する以前の主張を撤回しました。また、Google、VulnCheck、その他の研究者たちは、試みは確認されているものの、リモートコード実行の成功事例はまだ確認されていないと述べています。
どのPHPバージョンでこれらの脆弱性が修正されましたか？
PHPは10月21日付で、バージョン8.5.12、8.4.27、8.3.36、8.2.35に修正パッチを提供しました。管理者はまずインターネットに公開されているシステムのパッチ適用を優先し、Webサーバープロセスがパッチ適用済みのランタイムを実行していることを確認するよう求められています。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
Micah Abiodun
マイカ・アビオドゥンは、タリン工科大学（TalTech）で取得した環境工学および管理（MSc）の知識を活かし、Cryptopolitan でコンテンツの質を高め、価格予測ニュースを提供しています。暗号通貨メディア業界で7年目を迎える彼は、主要な暗号資産、アルトコイン、DeFi、ステーブルコイン、マクロトレンド、そして新興技術について幅広く取り上げています。
