AIがエクスプロイト開発を加速、PHP2Shellの脆弱性に数百万件の攻撃

2026年10月22日、数百万のハッカーがPHPにおける2つの重大な脆弱性を悪用しようと試みました。政府や企業は一部のオンラインシステムを停止せざるを得ず、専門チームは緊急パッチの適用に追われました。これは、深刻な脆弱性に対処するためにサイバーセキュリティ専門家が今やどれほど短い時間しか与えられていないかを如実に示しています。

サーバー乗取を可能にする 9.2 評価のバグ2件

PHP2Shellとして知られるこれらの脆弱性は、CVE-2026-109618およびCVE-2026-109619として追跡されています。両方とも重大度スコアは10点満点で9.2です。2026年10月21日、PHP はバージョン8.5.12、8.4.27、8.3.36、8.2.35の4つの修正をリリースしました。

英国NCSCによると、これらのバグはPHPの内部メモリを破損させる可能性があります。特定の条件下では、攻撃者がログインせずにコードを実行できる可能性があります。Wizもまた、パスワードやAPIキーなどの機密データがメモリから漏洩する可能性を示しました。

PHPは、識別可能なサーバーサイド言語を持つウェブサイトの69.3%を支えています（出典：W3Techs）。これはPHPの普及度を示すものであり、侵害されたサイト数を意味するものではありません。

パッチとエクスプロイトの間の窓が閉まりつつある

Frontier AIは、長年にわたりPHPに潜んでいた脆弱性のエクスプロイトを組み立てる研究を支援しました。Cryptopolitanの報道によれば、技術詳細が漏洩したため、パッチは予定より1日早く提供されました。

攻撃の兆候は、いかなる攻撃も報告される以前から確認されていました。2026年10月17日、開示の4日前にAWSはMadPotハニーポットのログにおいてこの試みを検出しました。攻撃が成功したかどうかは不明です。AWSセキュリティ責任者のCJ Moses氏は、AIを活用する攻撃者によって脅威が開示後数時間、あるいは数分で生成される可能性があることを警告しています。

数千件のプローブが1日で数百万件に

CloudflareのCEOであるMatthew Prince氏は、10月21日の開示に至る直前の10時間で数千回の試みが行われたと明らかにしました。その後45分以内に試みは数万回に急増し、さらにその2時間後には数十万回を超えました。そしてまもなくして、数百万回の試みが行われるようになりました。これらは確認された侵害ではなく、単なる試みです。

Cloudflareはすでにファイアウォール保護を展開していましたが、それはパッチ適用に代わるものではありませんでした。

10月22日、Reutersは野村、三菱UFJ、ANA、東日本旅客鉄道（JR東日本）、オレンジ社における予防的なサービス停止を報じました。また、フィンランド、オランダ、フランスでも政府関連ウェブサイトが一時的にオフラインとなりました。

すべてのPHPコピーを見つけるのが難しい部分です

PHPは、管理者がほとんどチェックすることを考えない機器の中に潜む可能性があります。オランダNCSCのインベントリには、審査中のサードパーティ製品が含まれており、その中にはFortinetの製品も含まれています。Searchlight Cyber スキャナーをリリースして、脆弱なホストを特定しています。これは意図的にメモリ枯渇をテストするため、使用する際には注意が必要です。

PHP Foundationの執行役員であるElizabeth Barron氏はWIREDに語りました：

私たちの知る限り、リモートコード実行の成功した試みはありませんでした。

すでにセキュリティ支出が向かっている先

ガートナーの9月16日時点の予測によると、2026年のグローバルなAIサイバーセキュリティ支出は513億ドル、2027年には約860億ドルに達するとされています。また、2026年の世界全体のAI支出は2.7兆ドルと見込まれています。

PHP2Shellはこの予測された費用の原因ではありません。むしろ、この事例は、企業が実行しているソフトウェアを認識し、脆弱性を迅速にパッチ当てし、その被害的な影響が感じられるずっと前に脅威を検出することがいかに重要であるかの優れた例証となっています。