Amazon Threat Intelligence は、Mad Pot ハニーポットのテレメトリにおいて、2026年10月17日付の PHP2Shell 悪用試行を特定しました。CVE-2026-109618 と CVE-2026-109619 の公開の4日前にあたります。この試行は、商用の匿名化ネットワークに関連付けられた IP アドレスから行われました。この脆弱性は公開前の非公表期間（エンバーゴ）下にありましたが、ハニーポットが標的にされたことは、脅威アクターが活動していたことを示唆しています。ただし、そのアクターが公開前にどのようにして悪用情報を入手したのかは、依然として不明です。
PHP のエンバーゴは2026年10月21日 14:00 UTC に解除される予定でした。Amazon Threat Intelligence は公開当日に複数の概念実証（PoC）エクスプロイトを確認し、最も早いものは 02:00 UTC頃でした。02:00 から 08:00 UTC の間には、Mad Pot を狙った追加の悪用試行が、さらに別の匿名化インフラストラクチャから届きました。ペイロードが多様であることから、複数のアクターが関与している可能性があり、実際のシステムに対してこれらの試行が成功したかどうかを判断するための技術分析が進行中です。
パッチの公開から数時間以内に、さらなる PoC エクスプロイトが出現し、ほぼ即座に Amazon のセンサーに対して使用されました。PHP2Shell は現在、野生で広く悪用されています。Amazon は二つの教訓を挙げています。エンバーゴが防御側を守るのは、他の誰かが同じバグを発見するまでに限られること、そして公開日が悪用の最初の日であるとは限らないことです。AI を活用した分析によってパッチを動作するエクスプロイトに変えるコストが下がっているため、パッチと攻撃の間の時間差は縮まりつつあります。
セキュリティチームは、インターネットに公開された重大な脆弱性に対するパッチ適用時間を、日単位ではなく時間単位で計測し、既知の最も早い悪用時点から調査を開始し、CVE 固有のシグネチャに依存しない検知手法を導入すべきです。修正済みの PHP バージョンへのアップグレードだけが完全な対策です。すぐにパッチを適用できない場合は、アプリケーションへの影響を評価した上で、マルチパートのファイルアップロードのブロックを検討し、PHP_SESSION_UPLOAD_PROGRESS という文字列を含む POST リクエストについてログを確認すべきです。
出典: Hacker News · 要約：HeadlinesBriefing