RainForest、PHP脆弱性PHP2Shell関連の通信分析結果を公表

株式会社RainForestは、2026年10月21日に公開されたPHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について、独自のハニーポット観測基盤「Senda-Nexus観測網」に蓄積された通信記録の調査結果を発表しました。脅威情報分析基盤「Senda-Nexus」を用いて公開された脅威情報と照合したところ、調査対象とした11の公開IPアドレスのうち3 IP（約27％）の活動履歴を確認したとしています。さらに技術的な特徴に基づく調査では、公開情報に含まれない送信元からの関連通信や、標準的なWeb用以外のポートへの通信も観測されました。

公開IOCの約27％で活動履歴を確認

PHP2Shellは、PHPのコアランタイムに存在する2つの重大な脆弱性「CVE-2026-109618」および「CVE-2026-109619」の総称で、特定の条件下では認証されていない第三者によるリモートコード実行（RCE）につながるおそれがあります。2026年10月21日にVulnCheckが技術情報や探索・悪用試行の情報を公開したほか、Amazon Threat Intelligenceも観測基盤「MadPot」において一般公開前の10月17日に悪用試行を観測したと報告しています。

株式会社RainForestがこれら11の公開IPアドレス型IOCと自社観測網の記録を照合した結果、3 IP（約27％）の活動履歴が確認されました。なお、約27％という数値は今回調査対象とした11の公開IPアドレス型IOCのうち同社観測網で活動履歴を確認できた割合であり、世界全体の攻撃捕捉率を示すものではありません。確認された3 IPの内訳は、PHP2Shell関連のHTTP POSTなどが確認された「85.11.167.243」、Web関連の探索などが記録された「45.198.224.169」、限定的なWebアクセスが確認された「91.90.123.25」で、その他8 IPについては該当する活動履歴が確認されませんでした。

特定IPによる約3日前からの探索活動を把握

調査対象のうち「85.11.167.243」については、セッション記録から163件の活動履歴が確認されました。PHP2Shell関連通信が記録された2026年10月22日より前の10月19日から活動が観測されており、日本時間の10月19日21時台に活動を初めて確認後、ネットワーク機器やIoT機器、管理APIなどに関連する探索が行われていました。その後、10月22日20時台にPHP関連エンドポイントへのアクセス、同日21時台にPHP2Shell関連のHTTP POST通信が観測されています。

同社によると、この分析はIOCを起点に過去の観測データから前後の活動を関連付けたものであり、10月19日の探索活動がPHP2Shellの悪用を目的としていたことや、各時点の通信を同一の人物・組織が行ったことを確認したものではないとしています。

IOCに含まれない13 IPや標準外ポートでの通信も確認

HTTPリクエストの技術的特徴に基づく分析では、2026年10月22日にPHP2Shell関連のHTTP POST通信が21件観測されました。送信元は14 IPあり、公開IPアドレス型IOCと一致した「85.11.167.243」の1 IPを除く13 IPは、調査対象のIOC一覧に含まれていない送信元でした。これらの通信にもPHPエンドポイントへのHTTP POSTや特定の識別子を含むUser-Agentなど、公開技術情報と整合する構造が確認されています。

また、関連するHTTP POST通信21件が受信された宛先ポートの内訳は以下の通りです。

80番ポート（HTTP）：4件
23番ポート（Telnet）：8件
445番ポート（SMB）：6件
3389番ポート（RDP）：2件
22番ポート（SSH）：1件

この結果について同社は、TelnetやSMBなどのサービスが直接攻撃・侵害されたことを意味するものではなく、送信先ポート番号だけで判断せず通信内容を分析することの重要性を示すものだとしています。なお、本発表は2026年10月23日までに取得した通信記録に基づく分析であり、脆弱性の悪用成功や攻撃主体の同一性を意味するものではないと説明しています。

株式会社RainForestについて

株式会社RainForestは、サイバーセキュリティ分野において脅威情報の収集・分析やハニーポット観測、セキュリティ分析基盤の開発などを手がけています。

会社名：株式会社レインフォレスト（RainForest）
本社所在地：東京都杉並区成田西2-8-10
代表者：岡田晃市郎
公式サイト：https://www.rainforest-cs.jp/

本記事は株式会社RainForestの発表をもとに作成されています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。