PHP2Shell は、ソフトウェア製品やサービスの名前ではなく、セキュリティ上の脆弱性（弱点）に付けられた呼び名です。米サイバーセキュリティ・インフラ安全保障庁（CISA）が実際の攻撃での悪用を確認しており、AWS（Amazon）は公表の4日前から悪用が試みられていたと明らかにしています。
PHP2Shell とは
The Register の報道によると、CISA はこの脆弱性が実際の攻撃に悪用されていることを確認しました。セキュリティ研究者も、攻撃が成功した事例を観測しています。
名前からは、PHP（Web サーバーで広く使われるプログラミング言語）に関わり、「Shell」の部分から攻撃者がサーバー上でコマンドを実行することを狙う脆弱性だと読み取れます。ただし、これは名前から考えた推測です。当サイトが確認した報道の範囲では、影響を受ける製品とバージョン、攻撃の手口、CVE 番号、修正パッチの提供状況はまだ分かっていません。
「使い方」「料金」「提供元」を調べている方へ
PHP2Shell は購入したり導入したりするツールではありません。そのため、使い方や料金はなく、提供元や競合製品もありません。誰が発見し、誰がこの名前を付けたのかも、確認できた報道には書かれていません。
事業や投資の面から見るなら、注目すべきなのは PHP2Shell そのものではありません。影響を受けるソフトウェアの提供元と、検知や対策を提供するセキュリティ企業です。ただし、影響範囲が公表されるまで、どの企業が当てはまるかは判断できません。
何が問題なのか：公表より前に攻撃が始まっていた
ITmedia NEWS と The Register によると、PHP2Shell を狙う攻撃は脆弱性が公表される前から始まっていたと AWS が明らかにしました。最初の悪用の試みは、公表の4日前に確認されています。The Register は、この脆弱性を狙う攻撃者が相次いでいるとも伝えています。
脆弱性への対応は通常、公表を受けてからパッチを当てるという順序で進めます。しかし今回は、公表の時点ですでに攻撃が始まっていました。公表後にパッチを当てても、その前に侵入されていれば被害は防げていません。パッチを当てたことで安心はできない、という点がこの脆弱性に特有の問題です。
今すぐ確認すべきこと
Amazon は、公表日よりも前の期間にさかのぼって調査するよう呼びかけています。これを踏まえた一般的な対応は次の3つです。
- 自社で使っている PHP 関連のシステムが影響を受けるかどうかを、ベンダーや CISA の公式情報で確認する - 影響を受ける場合は、悪用の試みが確認された公表4日前を含め、それより前の期間についてもアクセスログやサーバー上の不審な変更を調べる - 修正が提供されていれば適用し、あわせて侵入の痕跡がないかを確認する
システムを外部に委託している企画・DX 部門の方は、委託先に「PHP2Shell の影響有無」と「公表日より前にさかのぼった調査をしたか」の2点を確認するとよいでしょう。影響を受ける製品や修正の詳細が分かり次第、当サイトでも続報を伝えます。
