PHP2Shellを狙った攻撃を日本国内でも観測 (IIJ MITFハニーポット)

2026年10月20日に予告があり、翌21日23時(日本時間)に詳細と緊急パッチが公開されたPHPの脆弱性PHP2Shellは、PHPの高いシェアと悪用リスクの高さ、そして正式発表までの紆余曲折を含め、非常に大きな注目を集めました。また、発表前後の注意喚起やWebサイトの「予防的停止」を含む対応についても、様々な議論が交わされています。

現在はPHP2Shellに関する情報はオープンになっており、実際にインターネットでの攻撃が発生する可能性があります。実際にPHP2Shellを狙ったサイバー攻撃が発生しているのでしょうか？海外ではいくつかレポートが出ていますが、IIJでも日本国内に設置した設備でPHP2Shellを狙った攻撃を観測しました。

「スキャン」と「攻撃」

公開されているサーバのログを見ると、PHP2Shellに関連していると思われる不審なアクセスはわりと簡単に見つかります。ただ、これらのログの中には「脆弱性を持ったサーバがどのぐらい存在するか」を調査するための「スキャン」と呼ばれるアクセスも含まれています。スキャンは調査・研究目的のこともあれば、実際の攻撃前の情報収集目的のものもあり、濃いグレーではあっても、クロと言い切るのは難しい部分があります。

IIJ MITFハニーポット

今回IIJが観測したのは、そういったグレーのものではなく、「クロ」と判断できるものでした。
IIJが立ち上げたMITF (Malware Investigation Task Force)という活動の一環として、インターネット上に普通のサーバに偽装した「おとり」を設置しています。これをハニーポットと言います。

MITFについて IIJ-SECT

このハニーポットでは、インターネットからのアクセスを受けた際に、どのような通信があったかの情報を詳細に収集しています。今回、ハニーポットが収集した情報を分析したところ、「クロ」と判断できるアクセスが見つかりました。

攻撃者は何を狙っていたか

この画像は、収集した攻撃情報の一部です。

この攻撃では、ターゲットになったサーバに対して不正な命令を送り込み、他のマルウェア(不正ソフトウェア)をダウンロードし、実行させようとしていることがわかります。
IIJで調査したところ、この攻撃で実行させようとしたマルウェアは、ターゲットサーバをDDoSのbot化させるものでした。ターゲットのサーバを使って、さらに別のサーバに対して攻撃を行わせようとしたと思われます。

今回はDDoS bot化を狙ったものですが、命令を少し変えれば、他の動作をさせることもできます。例えば、ターゲットのサーバで公開されているコンテンツを書き換えたり、ターゲットのサーバからデータベースにアクセスして、そこにある個人情報を持ち出したりもできるだろうと思われます。

脆弱性対応は続く

すでに多くのWebサイトでは予防的な停止や、PHPのアップデートなどの作業が行われています。日本国内でも実際に悪用を狙った攻撃が観測されたことで、こうした対応が必要だったことが改めて確認されました。

今回はたまたまPHPで、たまたま大きな話題になりましたが、インターネットの周辺ではPHPを含めた様々なソフトウェアについて、同じような対応が繰り返されてきました。実は、PHP2Shellの対応の進行中にも、他のソフトウェアでリスクの高い脆弱性の報告が相次いでおり、複数の脆弱性対応を並行して進めることになったエンジニアもいます。
そしてこれからも新たな脆弱性が見つかり、その対応が行われます。それは大きなニュースにはならないかもしれませんが、社会を守るためには欠かすことができない作業です。インターネットの裏側で、そんなことが起こっていることを、頭の片隅にでも覚えておいていただけると嬉しいです。