本文へスキップ
MameTechNews
バックエンド

PHP2Shell（CVE-2026-109618/109619）の実攻撃をUnit 42が確認　侵入後はAIエージェント型の攻撃者が2時間でAD侵害を試行

## POINTS

  • PHP 8.5.12・8.4.27・8.3.36・8.2.35への更新が必要、Web経由で動く構成はすべて対象
  • Unit 42が欧州政府機関への侵害を確認、2時間でMFAシークレット取得とAD権限昇格を試行
  • AmazonはPoC流出前の10月17日に悪用を観測、公開後は大規模な攻撃試行が続く

PHP2ShellはPHPが10月21日に修正した2件のRCE脆弱性で、CVE-2026-109618はlongjmp()によるメモリ不足エラー処理でリクエストメモリが未初期化のまま残る問題、CVE-2026-109619は致命的エラー処理後にグローバル状態が解放済みメモリを指したまま残る問題。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35で、7.4〜8.1向けにも最小限のソースバックポートが出ている。Unit 42の脅威ブリーフによると、欧州の政府機関を狙った事例では侵入から2時間以内にパスワードハッシュとMFAシークレットにアクセスされ、Active DirectoryへのNTLMリレートンネルが張られてドメイン管理者権限の取得が試みられた。コマンドを区切り文字で囲んで機械可読の出力にするなど、AIエージェント型の攻撃プラットフォームが使われた痕跡があるとしている。SecurityWeekによると、Amazonはパッチ公開4日前の10月17日に最初の悪用を観測しており、Cloudflareは公開後に数百万規模の攻撃試行を観測した。PHP側は、Webリクエストを処理するすべての構成（PHP-FPM、mod_php、php-cgi、FrankenPHP、LiteSpeed）が影響を受ける可能性があるとしている。