Amazon Threat Intelligenceは最近、PHP2Shellと呼ばれるPHPの脆弱性に対する悪用試行を特定しました。この試行は2026年10月17日にまで遡ります。この活動は、Amazonが悪意のあるトラフィックを監視および分析するために使用するハニーポットネットワークであるMadPotを通じて検出されました。特筆すべきは、これらの試行が、2026年10月21日まで公開禁止（エンバーゴ）が課されていた関連する脆弱性（CVE-2026-109618およびCVE-2026-109619）の公式公開の4日前に発生したことです。
脆弱性がまだ公開禁止の状態にある間に、匿名化されたインフラからこれらの試行が検出されたことは、脅威アクターが早期に悪用情報を入手した可能性を示唆しています。公式な公開禁止の解除後、Amazonはセンサーに対する概念実証（PoC）の悪用および即時の悪用試行の急増を観測しました。これらのイベント中に使用されたペイロードと匿名化インフラの多様性は、複数の異なるアクターがこの脆弱性を標的にしていたことを示唆しています。
この画像は、PHP2Shellの悪用試行を検出するために使用されるAmazon Web Servicesのセキュリティインフラを象徴しています。
Amazonの分析は、サイバーセキュリティ環境における構造的な変化を指摘しています。パッチがリリースされてから動作する悪用コードが利用可能になるまでの時間が短縮されているのです。報告書は、これをAI支援による分析に起因すると述べており、AIによってアクターがパッチの差分やセキュリティ勧告を機能的な悪用コードに変換するコストが大幅に低下し、スピードが向上しています。その結果、Amazonはセキュリティリーダーに対し、運用上の前提をシフトすることを推奨しています。重要なインターネット公開システムのパッチおよび緩和のタイムラインは、数日や数週間ではなく、時間単位で測定されるべきであると提言しています。また、包括的なインシデント対応を確保するために、公開日ではなく、既知の最古の悪用日から調査を開始することを推奨しています。
これらのリスクを軽減するために、Amazonは修正済みのPHPバージョンへの即時アップグレードを推奨しています。なぜなら、設定のみによる回避策では両方のCVEを完全に解決できないためです。すぐにパッチを適用できないシステムについては、マルチパートファイルアップロードのブロックを検討することや、「PHP_SESSION_UPLOAD_PROGRESS」文字列を含むPOSTリクエストなどの特定のインジケーターの監視を提案しています。Amazonはまた、内部の脅威インテリジェンスを使用して既知の試行をリアルタイムでブロックしているものの、新しい脆弱性の最初の悪用は多くの場合、セキュリティシグネチャが利用可能になる前に発生するため、特定のCVEシグネチャのみに依存しない検出方法への移行が必要であるとも指摘しています。
主なソースはこれらの試行の早期検出に焦点を当てていますが、公開前の悪用試行のいずれかが実際のシステムを正常に侵害したかどうかは不明なままです。さらに、報告書は、特定されたIPアドレスが共有の匿名化インフラの一部であり、この特定の脅威活動に限定されたものではないことを指摘しています。つまり、組織はこれらをブロックの決定的な根拠として使用するのではなく、より広範な調査の一部として使用すべきであることを意味しています。