PHP2Shell攻撃が急増、Potassiumボットネットの勧誘は苦戦
重要ポイント
- •PHPの2件の脆弱性CVE-2026-109618およびCVE-2026-109619は、10点満点中9.2というクリティカルな深刻度スコアを、認証不要のリモートコード実行を可能にします。攻撃活動は10月21日のパッチ公開前にすでに始まっていました。
- •Censysは10月22日時点で、影響を受けるバージョンが稼働する公開向けPHPサービスを4,100万超検出しました。修正公開から1日後でも、パッチ適用済みインスタンスは約100万にとどまります。
- •サーバー侵害はまだ確認されておらず、Sophosは10月22日に先の発表を撤回し、失敗に終わった攻撃の試みしか観測していなかったと述べました。
- •Potassiumマルウェアには、ICMP、TCP、UDP、OpenVPNを網羅する24種のフラッドコマンドに加え、有効化されればC&Cサーバーの遮断を困難にしうる休止状態のイーサリアム・ネーム・サービス（ENS）ルックアップ機能が含まれています。
- •VulnCheckは、本番構成のPHP 8.4.26および特定の8.4・8.5ビルドでASLRを回避する非公開エクスプロイトを開発しました。一方、公開されているPoCサンプルの多くは依然として動作しません。
攻撃者は、分散型サービス拒否（DDoS）攻撃のために構築されたMirai派生のボットネット「Potassium」に、脆弱なPHPサーバーを組み込もうとしていますが、現時点ではキャンペーンは苦戦しています。Miraiのソースコードは2016年に公開されており、この亜種から派生したボットネットは、記録上最大規模のDDoSキャンペーンのいくつかを引き起こしてきました。The Hacker Newsは10月23日、攻撃試行が数十万件に達する中、サーバー侵害はまだ確認されていないと報じました。
攻撃対象の脆弱性
このキャンペーンの中心は、PHPの2件の脆弱性CVE-2026-109618およびCVE-2026-109619です。両者とも深刻度スコアは10点満点中9.2——CVSSスケールの「クリティカル」域に該当する水準——で、いずれも認証不要のリモートコード実行を可能にします。つまり攻撃者は資格情報なしで脆弱なサーバー上でコマンドを実行できます。PHPは10月21日にパッチを公開しましたが、その時点でハッカーはすでにこれらの脆弱性への攻撃を開始していました。
数百万回の探索、確認された侵入はゼロ
これらの数値は、攻撃者がどれほど広範に探索を行っているかを示しています。Impervaは、24時間以内に103か国の2万1,998サイトを対象とした12万2,311セッション、計48万2,342件のリクエスト試行を記録しました。一方Censysは、影響を受けるバージョンが稼働する公開向けPHPサービスを4,100万超検出し、10月22日時点でパッチ適用済みバージョンを稼働させているのは約100万インスタンスのみと報告しています。パッチが公開されてから丸1日経っても、公開されたサーバーの圧倒的多数は修正されていないままです。ただし、スキャン活動や露出の数だけでは、実際の侵害が発生したことを証明するには不十分です。
Sophosが一度報じ、撤回した内容
Arctic Wolfによると、コマンド実行の試みおよびマルウェアのダウンロードがPotassiumのものと特定されています。別のサンドボックス検証では、異なるサンプルがIP 134.199.154[.]64経由でTCPポート792を使ってthunder.godofthunder[.]stに接続し、ウクライナの2つのホストを攻撃したことが判明しました。これはマルウェアの潜在能力を示すものであり、攻撃者が本番サーバーを侵害したことを示すものではありません。10月22日、Sophosは先行していた成功の発表を撤回し、The Recordに対して、失敗に終わった攻撃の試みしか観測していなかったと述べました。
24種のフラッドコマンドと休止状態のENSスイッチ
Arctic Wolfによると、PotassiumにはICMP、TCP、UDP、OpenVPNの各種を網羅する24種のフラッドコマンドが含まれています。また、ARM版とx86-64版の両マルウェアには、従来のDNS階層ではなくイーサリアムブロックチェーン上で動作する分散型ネーミングシステムであるイーサリアム・ネーム・サービス（ENS）のルックアップ機能が組み込まれていますが、この機能は両バージョンとも無効化されています。イーサリアムおよびENSは侵害されていません。ただし、ENSルックアップが有効化された場合、従来のDNSおよびIP制御によるボットネットのC&Cサーバーの遮断がより困難になる可能性があります。
その防御も万全ではありません。VulnCheckは、本番構成のPHP 8.4.26でASLRを回避する非公開エクスプロイトを開発し、その後、特定の8.4および8.5ビルドへの対応を拡大しました。Googleのジョン・ハルトキスト氏は、The Recordによると、この脅威を「実現可能性があり、非常に深刻だ」と評価しています。
DDoSボットネットがホスティング・暗号資産事業者を懸念させる理由
より広範な脅威はすでに相当な規模に達しています。脅威レポートによると、Cloudflareは2026年上半期に毎秒1テラビットを超えるDDoS攻撃を935件記録しました。これらの攻撃はPotassiumによるものとされていませんが、ホスティング事業者、決済プロセッサー、暗号資産プラットフォームが直面する混乱を物語っています。PHP2Shellに関連した金銭的損失は報告されていません。
PHPの新たな勧告と注視すべき点
10月23日、PHPは、特殊なアプリケーション構成に関わる新たな問題CVE-2026-115560を開示しました。通常の修正が提供されるまでの間、PHPはsession.upload_progress.enabled=0の設定を推奨しています。これはPHPのアップロード進捗機能を無効化する設定ディレクティブで、CVE-2026-109619の緩和策としても機能します。
管理者はPHP 8.5.12、8.4.27、8.3.36、または8.2.35をインストールし、稼働中のプロセスが実際にパッチ済みのコードを読み込むようワーカーを再起動し、不審なダウンロードを監視すべきです。CobaltのCISO、アンドリュー・オバディアロ氏は、The Recordの引用として、現在の静けさは「猶予期間にすぎない」と警告しています。
