Dreamが報告したPHP2Shell攻撃チェーン、25台のサーバーを侵害

Dreamは、米国政府関連の環境内のシステムを含む25台のサーバーを侵害したとするPHP2Shell攻撃チェーンを報告した。10月26日の調査では、外部に公開されたファイアウォール管理インターフェースが、内部のID基盤へ侵入する経路となった経緯が説明されている。

報告された侵害台数は、境界ファイアウォール24台と内部管理サーバー1台の合計だ。Dreamは影響を受けたベンダーとソフトウェアのバージョンを明らかにせず、ベンダーには通知したとしている。

エクスプロイトチェーンはいかに2つのセキュリティ境界を突破したのか

この攻撃チェーンでは、CVE-2026-109618およびCVE-2026-109619として追跡されているPHP2Shellと、Linuxの権限昇格脆弱性であるFragnesia（CVE-2026-46300）が組み合わされていた。

これらの脆弱性が突破する障壁は異なる。リモートコード実行により、攻撃者は到達可能なサービスを通じてコードを実行できる。その後、ローカル権限昇格によって、制限された足掛かりからオペレーティングシステム全体の制御へと移行できる。両者を組み合わせると、インシデント対応で考慮すべき範囲が変わり、調査担当者は、侵害されたアプライアンスが自身の管理インターフェースの先にある何にアクセスできたのかを検討する必要がある。

Red Hatは、FragnesiaをLinuxカーネルのXFRM ESP-in-TCPサブシステムにおける脆弱性と説明している。安全でない暗号処理により、権限の低いローカル攻撃者が読み取り専用ファイルのページキャッシュを改変し、特権バイナリーを上書きして、root権限を取得できる可能性がある。したがって、これは初期の認証不要な侵入口とは異なる、独立した権限昇格の手段である。

Dreamは、LDAPサービスアカウントの認証情報が窃取され、ディレクトリーの列挙が行われたことを確認した。一方、パスワードスプレー攻撃、バックドアアカウントの作成の試み、SAML署名鍵の窃取が成功したかどうかは確認できなかった。この違いは重要だ。ディレクトリー情報へのアクセスが確認されたからといって、Active Directoryが完全に乗っ取られたことにはならない。

AIに関する証拠から何が分かるのか

調査担当者は、Claude Codeがインストールされ、攻撃用プラットフォームがDeepSeekとKimiを使うよう設定されていたことを確認した。Dreamによると、これらのツールがエクスプロイトや侵入後のスクリプトを作成したことを示す直接的な証拠はなく、この作戦を完全に自律的なものとも位置付けていない。中国とのつながりを示唆する見方は暫定的なもので、特定の脅威アクターの名は挙げていない。

防御側にとって、この区別は、観測されたツールの使用と、作成者、操作者の身元、自律性に関する結論とを切り分けるものだ。コーディング支援ツールの存在は、作業手順についての仮説を裏付ける材料にはなり得るが、それだけで、モデルがどの判断を下したのか、あるいは誰が作戦を指揮したのかを確定することはできない。

PHPの修正と、それ以前から続いていた悪用の期間

PHPプロジェクトが10月21日に公開した勧告では、2件の重大なリモートコード実行脆弱性を修正するセキュリティリリースとして、PHP 8.5.12、8.4.27、8.3.36、8.2.35を挙げている。一方の脆弱性では、メモリー不足時の処理によって内部のリクエストデータが部分的にしか初期化されない。もう一方では、基盤となるメモリーが解放された後も、古い内部状態が残存する。

このプロジェクトは、Webリクエストを処理するPHP環境はリスクにさらされており、Apacheのmod_php構成ではリスクが最も高いと評価している。また、部分的な緩和策では完全に保護できないとして、利用者にアップデートを促している。パッケージ化されたアプライアンスの場合、実際にどのように修正するかは、実行時のバージョン表示だけでなく、ベンダーがサポートするファームウェアとバックポートされた修正に左右される。

Unite.AIは以前、PHPのパッチと、脆弱性の発見における最先端AIの役割を取り上げた。今回の報告は、発見から、外部に公開された環境がもたらす影響へと焦点を移している。

これとは別に、Amazon Threat Intelligenceは、10月17日から同社のMadPotハニーポットネットワークでPHP2Shellの悪用が試みられたと報告した。これは情報が一般に公開される前のことだった。ただし、このテレメトリーから、Dreamが説明するキャンペーンと同じ操作者が実行したとは確認できない。

AWSは、インターネットに公開されたシステムに影響する重大な脆弱性について、緩和までの所要時間を時間単位で測定すること、情報公開日ではなく、悪用が確認された最も早い時点から調査すること、CVE固有のシグネチャだけに依存しない検知方法を開発することを推奨している。PHP2Shellについては、少なくとも10月17日までさかのぼって調査するよう勧めている。

Dreamの技術が果たす役割

自社のウェブサイトで、DreamはHeroを、脆弱性調査、マルウェアのリバースエンジニアリング、フォレンジック分析、検証済みの修正を支援する自律型サイバー研究システムとして位置付けている。これを補完するSphereプラットフォームは、政府機関や重要インフラの環境全体で、リスクにさらされている領域を把握し、防御の優先順位を付けることに重点を置く。

技術的には、個別の脆弱性を調査することと、運用ネットワーク全体のどこでその脆弱性が問題になるかを把握することは別の課題だ。境界アプライアンス、その管理サーバー、IDディレクトリーは、所有者もパッチ適用のサイクルも異なる場合がある。それでも攻撃者は、それらを一連の経路としてつなげられる。効果的な封じ込めには、該当する更新プログラムの適用と並行して、その経路を調べる必要がある。