PHP2Shell脆弱性、パッチ前に悪用確認
これまでの経緯
PHPの重大な脆弱性2件に対する修正は水曜日に公開され、管理者やセキュリティ担当者はぜい弱なサイトやアプリの特定とパッチ適用に追われた。攻撃者が修正内容を逆解析して悪用方法を探ることも避けられず、一部の政府などは、パッチ適用前に狙われないよう主要サイトを事前に停止した。 AWSが水曜夜に公開した調査では、PHP2Shellの悪用を試みた主体が10月17日にはすでに現れていた。AWSの分析担当者が過去のハニーポットの記録を見直して気づいたもので、攻撃元は「商用の匿名化ネットワーク」に紐づくIPアドレスだった。Moses氏は、禁輸期間中に匿名化されたIPからハニーポットが狙われたことは攻撃者の活動を示唆するが、事前にどう情報を得たかは不明だと述べている。 公開当日の午前10時ET（東部時間）の開示より数時間前から、概念実証（PoC）のエクスプロイトも出回り始めていた。AWSによれば、その時間帯のハニーポットには複数の事業者で匿名化された、目的の異なる攻撃試行が相次ぎ、複数の攻撃者が関与した可能性がある。ただし実際のシステムで成功し得たかは不明で、技術分析は続いており、PHP2Shellは現在広く悪用されているとしている。 Moses氏は、パッチから実際に動くエクスプロイトまでの時間は構造的な理由で縮んでいると述べた。従来は公開PoCの後に悪用が増え、少数の有能な攻撃者に他が依存していたが、その依存は弱まりつつある。AI支援の解析によってパッチの差分や勧告から攻撃コードを作るコストが下がり、技術的詳細の開示から数時間、場合によっては数分で動ける攻撃者が増えるという見方である。PHP Foundationは、WIREDの取材に即時の回答をしていない。
WIRED AIより
報道タイムライン
報道を追って、ストーリーのさまざまな側面を確認しましょう。
- WIRED AIPHPの脆弱性PHP2Shell、パッチ公開の4日前から悪用の試行をAWSが確認
AWSは、PHPの重大な脆弱性2件（総称PHP2Shell）への悪用試行が、公開の4日前にあたる10月17日に始まっていたと報告した。ハニーポットへの攻撃が匿名化ネットワーク経由のIPアドレスから確認され、AWSのCJ Moses氏は入手経路は不明としている。AIによる解析で、パッチから実際に動くエクスプロイトまでの時間が短くなっているとも指摘している。
このニュースの注目度の推移
現在の注目度 9·比較可能なピーク 10（10月22日 12:00）·24時間の比較可能な増減 –
推移は、継続的かつ完全に観測できたアカウントのみを比較しているため、現在の注目度の数値より範囲が狭くなる場合があります。ポインターを動かすかグラフをタップすると、1時間ごとの注目度を確認できます。キーボードでは左右の矢印キーを使います。