CVE-2026-109618とCVE-2026-109619: PHP2Shell RCEの脆弱性

概要

PHP における 2 つの重大なリモートコード実行脆弱性（CVE-2026-109618 および CVE-2026-109619 として追跡）が公式発表前にオンラインで漏洩しました。これらの欠陥により、攻撃者は脆弱なウェブサーバーで任意のコマンドを実行できる可能性があります。この脆弱性は複数の PHP リリースに影響を与える可能性があり、サポートが終了している古いバージョンを含むかもしれません。

調査

watchTowr の研究者は脆弱性を確認し、CVE-2026-109618 を再現することに成功しました。Huntress も開示を監視し、パートナー環境全体でそのような攻撃が確認されていないと報告しましたが、悪用の可能性を評価しました。PHP の広範な使用により、リスクは依然として高い状態です。研究者は、PHP プロセスによって異常な子プロセスが生成されるなどの一般的な悪用の兆候に注力しました。

緩和策

組織は即座にすべての PHP 配置のインベントリを確認し、サードパーティーのベンダーソフトウェアにバンドルされているインスタンスを含める必要があります。管理者は、10 月 21 日に公式の PHP セキュリティパッチがリリースされたら、すぐに適用できるよう準備を進めるべきです。修正を受けられない終了している PHP バージョンを実行しているシステムは、インターネットから隔離されるか、VPN または Web アプリケーションファイアウォール (WAF) の背後で保護されるべきです。

対応

シェル、インタープリタ、またはネットワークユーティリティを起動する PHP プロセスを含む疑わしい活動が検出された場合、管理者は直ちに影響を受けたサーバーを隔離するべきです。ウェブサーバーと PHP のログを保存することはフォレンジック調査のために不可欠です。セキュリティチームは、ウェブルートに新たに作成されたウェブシェル、不正なファイル、疑わしい cron ジョブ、スケジュールタスク、または新たに追加されたユーザーアカウントがないかを検査するべきです。

シミュレーション実行

• 攻撃の説明とコマンド: 敵対者は、PHP-FPM を実行中のウェブアプリケーションの脆弱性をうまく悪用しました。足場を確立し、偵察を開始するために、攻撃者は PHP スクリプトを使用してシステムコマンドを実行します。攻撃者の目的は、利用可能な権限のレベルを確認するために現在のユーザーコンテキストを特定することです。攻撃者は whoami を php-fpm プロセスを通じて実行し、検出ルールの Image|endswith: 'whoami' ロジックをトリガーするはずです。

• 回帰テストスクリプト:

  #!/bin/bash
  # PHP RCE 検出ルールをトリガーするシミュレーションスクリプト。
  # このスクリプトは、PHP-FPM プロセスが偵察コマンドを生成する様子をシミュレートします。
  
  # 1. 親プロセスをシミュレートできるか確認します。
  # 実際の環境では、これは php-fpm のデーモンです。
  # シミュレーションでは、その動作を模倣するためにサブシェルを使用します。
  
  echo "[+] シミュレーション開始: PHP-FPM RCE 検出をトリガーします..."
  
  # 'sudo -u www-data' を使用してウェブユーザーを模倣し、
  # 子プロセスの関係を模倣するために実行をラップします。
  # 注: 'ParentImage|endswith: php-fpm' に完全に一致するには、
  # php-fpm がアクティブなシステムでテストを実行する必要があります。
  
  # php-fpm が実行されていない場合の直接実行による動作のモックアップ:
  # 実際のラボでは、実際の PHP ファイルへのウェブリクエストを通じてこれをトリガーします。
  
  # トリガーコマンド: whoami
  # ルールが期待するプロセスツリー関係をシミュレートします。
  # php-fpm になりきることができないため、
  # 'child' のテレメトリが存在することを保証するためにコマンドを実行します。
  
  # 実際のテストコマンド (php-fpm の実行が必要):
  # php-fpm-cli-simulated-trigger
  # このスクリプトのために、ターゲットバイナリを実行します:
  whoami
  
  echo "[+] シミュレーションコマンドが実行されました。 PHP によってトリガーされた 'whoami' を SIEM で確認してください。"

• クリーンアップコマンド:

  # このシミュレーションで永続的なファイルは作成されませんでした。
  # シミュレーションの痕跡を削除するためにシェル履歴をクリアします。
  history -c
  echo "[+] クリーンアップ完了。"