Unit 42「PHP2Shell攻撃にAIエージェント」

パロアルトネットワークスの脅威分析チーム「Unit 42」は、2026年10月23日（現地時間）までに更新した脅威レポートで、PHPの深刻な脆弱性「PHP2Shell」を悪用する攻撃者が、侵入後の作業にAIエージェント型の攻撃プラットフォームを使っていると明らかにした。欧州のある政府機関の事例では、最初の侵入から2時間以内にパスワードハッシュと多要素認証（MFA）のシークレットが盗まれた。

ポイント

• Unit 42は、PHP2Shell（CVE-2026-109618、CVE-2026-109619）悪用後の作業を人間ではなくAIエージェントが担っていた痕跡を確認した。
• 根拠は「==SHELLUSER==」「==PASSWD==」といった区切り文字でまとめたコマンド群、短く連続するタスク、失敗直後の素早い方針転換である。
• 同社のCortex Xpanseは脆弱な可能性がある公開インスタンスを2260万件超と集計した。対策はPHP 8.5.12、8.4.27、8.3.36、8.2.35への更新だ。

AIエージェントによる攻撃をどう見抜いたか

Unit 42のレポートによると、手がかりはコマンドの形にあった。攻撃者はシェルコマンドを「==SHELLUSER==」「==PASSWD==」などの見出しで区切り、まとめて送っていた。言語モデルが出力を機械的に読み取りやすい形式である。

短いタスクが順番に続き、ある手順が失敗するとすぐ別の経路に切り替えるパターンも観測された。Unit 42は、人がキーボードを打っていたのではなく、AIエージェント型の攻撃プラットフォームが侵入後の作業を担っていた証拠とみている。

侵入2時間でActive Directoryへ

Unit 42が示した事例の標的は欧州の政府機関だった。攻撃者は最初の侵入から2時間以内にパスワードハッシュとMFAシークレットを入手し、Active DirectoryへのNTLMリレーのトンネルを構築したうえで、ドメイン管理者への権限昇格を試みた。

Unit 42は「少なくとも1つの欧州政府が予防措置としてウェブサイトを停止した」とも記している。政府名や権限昇格の成否は明らかにしていない。

PHP2Shellとは

2件の脆弱性はいずれもCVSS 4.0で9.2と評価されている。CVE-2026-109618はメモリ不足エラーをlongjmp()で処理する際にリクエスト用メモリが未初期化のまま残る問題、CVE-2026-109619は致命的エラーの後にグローバルメモリが解放済み領域を指したままになる問題だ。どちらもリモートコード実行につながり得る。

PHPプロジェクトは10月21日、8.5.12、8.4.27、8.3.36、8.2.35で修正した。テナブルのFAQによれば、7.4〜8.1は最小限のソースバックポートのみで、5.4〜7.3には修正がない。

パッチ公開前から始まっていた攻撃

米セキュリティ専門メディアSecurityWeekによると、アマゾンは公開4日前の10月17日にハニーポットで最初の攻撃の試みを検知し、その後「PHP2Shellは現在、実環境で広く悪用されている」と表明した。脆弱性の詳細は10月20日にネット上へ流出していた。

セキュリティ企業watchTowrは10月21日、自社のハニーポットで両CVEの実際の悪用を観測した。同日、CensysはPHPのバージョンを識別できた約158万台のうち約157万台が未修正だと集計した。テナブルは、10月23日時点で米CISAの「既知の悪用された脆弱性（KEV）」カタログにはまだ登録されていないとしている。

AIが攻撃のスピードを変える

PHP2Shellそのものも、報告したWizとCalifの研究者がAIモデルの助けを借りて発見した脆弱性である。Unit 42のレポートは、攻撃側も同様のツールで、足場の確保からドメイン全体の掌握までの時間を縮めていることを示す。

Unit 42は、即時のパッチ適用、ウェブサーバーとPHPワーカープロセスに侵入後の痕跡がないかの点検、ファイアウォールのログでの攻撃の試みの検索を推奨している。

今後の焦点

CISAが両CVEをKEVカタログに加えれば、米連邦機関にパッチ適用の期限が設けられる。追加の侵害事例が公表される可能性もある。

よくある質問

PHP2Shellは今まさに悪用されているのか。
そうだ。アマゾン、watchTowr、Unit 42がいずれも実環境での悪用や攻撃の試みを報告している。

AIが使われた攻撃かどうか、どう見分けるのか。
Unit 42は「==SHELLUSER==」「==PASSWD==」などの区切り文字で分けたコマンド群や、素早く連続するタスクを兆候に挙げ、自社製品向けの検索クエリを公開した。

どのバージョンに更新すればよいのか。
PHP 8.5.12、8.4.27、8.3.36、8.2.35である。それより古いバージョンはソースバックポートやディストリビューションのパッケージを使うか、サポート対象のバージョンへ移行する必要がある。

参考資料

• Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 — Unit 42、パロアルトネットワークス（2026年10月23日）
• PHP Remote Code Execution ("PHP2Shell" CVE-2026-109618 & CVE-2026-109619) — watchTowr（2026年10月21日）
• php2shell (CVE-2026-109618, CVE-2026-109619): Critical PHP RCE FAQ — Tenable（2026年10月23日更新）
• PHP2Shell Exploitation Started Days Before Patches — SecurityWeek（2026年10月22日）