株式会社RainForest（本社：東京都杉並区、代表：岡田晃市郎）は、2026年10月21日に公開されたPHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について調査結果を発表しました。同社が独自に運用するハニーポット観測基盤「Senda-Nexus観測網」の通信記録を、脅威情報分析基盤「Senda-Nexus」を使って分析したものです。VulnCheckとAmazon Threat Intelligenceが公開した脅威情報と自社の観測履歴を照らし合わせた結果、調査対象とした11の公開IPアドレスのうち、3 IP（約27％）で活動履歴が見つかりました。
PHP2Shellは、PHPのコアランタイムに存在する2つの重大な脆弱性「CVE-2026-109618」「CVE-2026-109619」の総称です。いずれもPHP内部のメモリ管理に関わる問題で、特定の条件下では、認証されていない第三者によるリモートコード実行（RCE）につながるおそれがあります。2026年10月21日にはVulnCheckが技術情報と、観測された探索・悪用試行の情報を公開しました。Amazon Threat Intelligenceも、同社の観測基盤「MadPot」で、一般公開の4日前に当たる10月17日にPHP2Shell関連の悪用試行を観測していたと報告しています。
公開IOC11 IPのうち3 IPで活動履歴を確認
RainForestは、VulnCheckとAmazon Threat Intelligenceの公表内容から抽出した計11のIPアドレス型IOCについて、自社観測網の記録を調べました。活動履歴が確認できたIPと、その観測内容は次のとおりです。
- 85.11.167.243：PHP2Shell関連のHTTP POSTと、それに先行する探索活動を確認
- 45.198.224.169：Web関連の探索や、別プロトコルでのコマンド試行に関する記録を確認
- 91.90.123.25：限定的なWebアクセスを確認
- その他8 IP：今回の調査対象期間では該当する活動履歴を確認できず
なお、約27％という数字は、今回調査対象とした11の公開IPアドレス型IOCのうち、同社の観測網で活動履歴を確認できた割合です。世界全体の攻撃の捕捉率を示すものではないと同社は説明しています。
85.11.167.243は関連通信の約3日前から探索活動
同社が特に注目したのが、VulnCheckが公開したIOCに含まれる85.11.167.243です。PHP2Shell関連通信が記録されたのは2026年10月22日ですが、Senda-Nexus観測網ではそれより前の10月19日から、このIPによる活動を観測していました。過去の観測履歴をさかのぼると、活動は次の流れで推移していました（日時は日本時間）。
- 10月19日 21時台：当該送信元IPの活動を初めて確認
- 10月19日：ネットワーク機器、IoT機器、管理APIなどに関連する探索
- 10月22日 20時台：PHP関連エンドポイントへのアクセス
- 10月22日 21時台：PHP2Shell関連のHTTP POST通信を観測
このIPについては、調査対象のセッション記録から163件の活動履歴が確認されています。これらは、PHP2Shell関連通信が観測される前から、同じ送信元IPが複数種類のサービスにアクセスしていたことを示すものです。ただし同社は、10月19日の探索活動がPHP2Shellの悪用を目的としていたことや、各時点の通信を同一の人物・組織が行ったことまでは確認していないとしています。ある送信元から脆弱性関連の通信を観測したという情報だけでは、その送信元の過去の行動までは分かりません。今回の分析は、IOCを起点に、脆弱性関連通信の前後にある活動を過去の観測データと関連付けた点に特徴があります。
45.198.224.169と91.90.123.25の傾向
45.198.224.169では、2026年10月20日からWeb関連の探索活動が記録されており、別プロトコルに関連するセッションではコマンド実行を試みたとみられるイベントも確認されました。ただし、これらがPHP2Shellの脆弱性と直接関係していたことや、コマンド実行に成功したことは確認されていません。91.90.123.25については限定的なWebアクセスが記録されているものの、今回の観測記録だけでは、PHP2Shell関連通信との直接的な関係を判断する十分な材料は得られていないとしています。同じIOCに含まれるIPであっても、観測される活動の内容や頻度は一様ではなかったということです。
IOCに含まれない13 IPからも共通の通信構造、80番以外のポートでも観測
同社は、公開IPアドレス型IOCに頼らない調査として、HTTPリクエストの技術的特徴に基づく分析も行いました。その結果、2026年10月22日に観測されたPHP2Shell関連のHTTP POST通信21件の送信元は14 IPでした。このうちIOCと一致したのは85.11.167.243の1 IPのみで、残る13 IPは今回調査対象としたIOC一覧には含まれていませんでした。これら13 IPの通信記録にも、公開されたPHP2Shellの技術情報と整合する構造が見られました。公開技術情報と整合する構造や、同社の観測で共通していた特徴は次のとおりです。
- PHPエンドポイントへのHTTP POST
- PHP2Shellとの関連を示す識別子を含むUser-Agent
- multipart形式のリクエスト本文
- PHPのセッションアップロード処理に関連するパラメータ
- 複数の通信間で一致または類似する送信データ
同社は、複数の送信元で同一または類似する通信が記録されていることは、それぞれが独立した攻撃者であることや、脆弱性の悪用に成功したことを意味しないと付け加えています。また、Senda-Nexus観測網は受信した通信の内容を分析し、その特徴に応じて応答するハニーポットの種類を選ぶ仕組みを採用しているため、一般的なWebサービス用以外のポートに届いた通信でも、HTTP形式であればWeb関連の通信として観測・分析できます。21件の宛先ポートの内訳は、80番（HTTP）が4件、23番（Telnet）が8件、445番（SMB）が6件、3389番（RDP）が2件、22番（SSH）が1件でした。いずれの通信にもPHP2Shellに関連する共通のHTTPリクエスト構造が含まれていましたが、この結果はPHP2ShellによってTelnet、SMB、RDP、SSHなどのサービスが直接攻撃されたことや、侵害されたことを意味するものではないとしています。
単発の検知から、前後の活動の関連付けへ
Senda-Nexusは、自社開発ハニーポットなどから得られる観測データを関連付け、サイバー攻撃の活動や背景を分析するための脅威情報分析基盤です。RainForestは今後も、Senda-Nexus観測網による継続的な通信の観測と、公開された脅威情報の分析を進め、単発の攻撃イベントの検知にとどまらず、その前後にある探索活動や異なる事象間の関連性を分析し、サイバーセキュリティ対策に活用できる知見の提供を目指すとしています。なお、今回の分析は2026年10月23日までに取得したSenda-Nexus観測網の通信記録が対象です。記載された通信件数や送信元IP数は観測ログに基づく集計値であり、独立した攻撃者数や侵害件数を示すものではありません。
出典：RainForest
