PHPの重大な脆弱性「PHP2Shell」について、攻撃者による遠隔コード実行がハニーポット環境で確認されたとの報告が公開されました。また、Web通信で広く利用されるBrotli圧縮ライブラリの脆弱性について、Node.jsや.NETなど複数の実行環境で修正が進んでいます。
PHP2Shell、ハニーポットで35件のコマンド実行を観測
PHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について、セキュリティ研究者が設置したハニーポットで、攻撃者による遠隔コード実行が確認されたと報告されました。
研究者のAdel Karimi氏が10月24日に公開した調査報告によると、PHP 8.4.26とApacheのmod_phpを使用した3台のハニーポットで、合計35件のシェルプロセスの起動が観測されました。
調査では、攻撃に使用されたHTTPリクエストと、Apacheのプロセスからシェルが起動した記録を照合しています。観測された攻撃はCVE-2026-109618の悪用と整合していますが、CVE-2026-109619が個別に悪用されたことを示すものではありません。
今回確認されたのは、攻撃を観測するために設置されたハニーポットでの実行成功です。一般のWebサイトに対する侵害の発生や、異なるPHP実行環境での攻撃成功率を示すものではありません。
JPCERT/CCも10月26日に注意喚起を更新し、実証コードの公開や悪用を試みる通信の観測が相次いでいると説明しています。実際にコードを実行できるかどうかは、PHPのバージョンや実行環境、メモリ配置などの条件に依存するとしています。
PHP開発元が10月21日に公開した修正版は、PHP 8.5.12、8.4.27、8.3.36、8.2.35です。PHP 8.1以前のサポート終了バージョンについては、サポート対象バージョンへの移行が推奨されています。
Webサイト管理者は、利用中のPHPが修正済みバージョンであることを確認するとともに、不審なmultipart/form-dataリクエスト、異常なPHPSESSID Cookie、PHPプロセスの異常終了などの痕跡を調査することが推奨されます。
なお、攻撃の痕跡が確認できない場合でも、侵害されていないと断定することはできません。修正済みバージョンへの更新が最優先の対策です。
出典
Brotli圧縮ライブラリの重大な脆弱性、Node.jsや.NETなどに影響
Web通信などで使用されるBrotli圧縮ライブラリに、メモリ破損を引き起こす脆弱性「CVE-2026-111497」が確認され、複数のソフトウェアで修正版が公開されています。
この脆弱性は、細工されたBrotli圧縮データを展開する際に、メモリの範囲外へデータを書き込んでしまう問題です。悪用された場合、プロセスの異常終了や情報漏えい、任意のコード実行につながる可能性があります。
Brotliライブラリでは、バージョン1.0.3から1.2.0までが影響を受けます。ただし、1.0.10および1.1.1は修正済みです。1.2系では1.2.1で修正されています。
Node.jsは10月21日にセキュリティ更新を公開し、22.23.4、24.22.1、26.12.1で対応しました。Node.js開発元は、この問題を深刻度「High」と評価しています。
また、Bunでは1.4.4、Envoy Proxyでは1.40.0、1.39.3、1.38.6、1.37.8、1.36.12で修正されています。Python向けのbrotliパッケージでは1.2.1、brotlicffiでは1.2.1.0が修正版です。
Microsoftも10月25日に.NET向けのセキュリティ情報を公開し、.NET 8.0.33、9.0.22、10.0.14などで修正したことを明らかにしました。
ただし、影響を受けるライブラリが含まれているだけで、すべてのアプリケーションが攻撃可能になるわけではありません。攻撃者が制御するBrotli圧縮データをアプリケーションが展開することが、主な攻撃成立条件となります。
Microsoftによると、ASP.NET CoreとHttpClientは標準設定ではBrotliデータを自動展開しません。Brotli展開を明示的に有効化している場合などに影響を受けます。また、従来の.NET Frameworkは影響を受けません。
Webアプリケーションの開発者・管理者は、使用している実行環境や依存ライブラリのバージョンを確認し、修正版を適用することが推奨されます。更新後は必要に応じてアプリケーションの再起動やコンテナイメージの再構築も実施してください。
出典
