PHPの脆弱性「PHP2Shell」の修正版が出てから2日後、PHPのWebサイトではなく、ファイアウォールの管理画面がroot権限を奪われていました。狙われた機器向けの修正版が届いたのは、その数日後です。本体の修正と機器の修正のあいだに空いた数日に、何が起きていたのでしょうか。
セキュリティ企業Dreamの研究チームは2026年10月26日、PHPの脆弱性PHP2Shell（CVE-2026-109618、CVE-2026-109619）とLinuxカーネルの脆弱性Fragnesia（CVE-2026-46300）を連鎖させ、Palo Alto NetworksのPAN-OSで動くファイアウォールと管理サーバー計25台でroot権限を奪った攻撃の痕跡を公表した。攻撃者は管理画面が公開された約1万9000台をFOFAで見つけ、米国・日本・台湾・韓国の240台に絞って自動で攻撃した。
米国政府関連の組織では内部の管理サーバーまで侵害し、Active Directoryへの攻撃に移っていた。Unit 42は攻撃者のツールと結果を独自に検証した。
From: 
Chained PHP2Shell Exploit Roots 25 Servers, including US Government Servers（Dream Research）
【編集部解説】
10月22日の記事では、PAN-OSは影響を受けるものの、Palo Alto Networksは悪用を把握していないと伝えました。Dreamが攻撃者の記録から復元した今回の攻撃では、10月23日18時14分（協定世界時、日本時間24日3時14分）に、米国政府関連の組織のファイアウォールがroot権限を奪われています。「把握されていない」ことと、侵害が起きていないことは、同じではありませんでした。
今回の事案で目を引くのは、狙われたのが「PHPで作ったWebサイト」ではなかった点です。PAN-OSの管理画面は内部でPHPを使っており、Dreamによれば12.1系と12.2系にはPHP 8.0.30が組み込まれていました。ファイアウォールを運用している担当者が、自分の機器をPHPの更新対象として意識していたかどうか。PHP2Shellの怖さは、ここにあります。
時系列を並べると、構造が見えてきます。PHPの開発チームが修正版を出したのは10月21日です。攻撃者が240台への一斉攻撃をかけたのは10月23日、米国政府関連の組織の内部へ入り込んだのは24日でした（いずれも協定世界時）。Palo Alto Networksのセキュリティアドバイザリの更新履歴によると、PAN-OSの修正版は10月25日から29日にかけて系列ごとに順次公開され、狙われた12.1系と12.2系は27日以降でした。
PHP本体の修正と、機器向けの修正版の提供のあいだには、数日の時間差がありました。PHP 8.0は、2023年11月にPHPの開発チームによるサポートを終えた系列です。今回は深刻さを踏まえて8.0向けにも最小限の修正コードが用意されましたが、この修正コードを利用者がそのまま機器に適用できるわけではありません。PAN-OSの利用者は、Palo Alto Networksが提供する製品の修正版を適用することになります。今回の攻撃は、その修正版が提供されるまでの数日のあいだに起きていました。
その間の守りとして有効だったのは、管理画面をインターネットに出さないことでした。Palo Alto Networksは、管理画面は既定では公開されない設定だとしたうえで、公開している場合はただちにやめ、接続元を信頼できる内部のアドレスに絞るよう求めています。同社によれば、管理画面を公開していて影響を受けたのは、世界の導入済み機器の約0.02%で、それぞれに個別に連絡したといいます。
攻撃の中身は、PHP2Shellによる遠隔からのコード実行と、Fragnesiaによる権限の引き上げを、一つの手順につなげたものでした。今回回収された実装では、PHP2Shellで得られるのは権限の低い「nobody」というユーザーでの実行にとどまります。SELinuxがこのプロセスによるシステムファイルの変更を制限しているため、攻撃者はFragnesiaを使って認証の設定ファイルのメモリ上の内容を書き換え、パスワードなしでrootに切り替えられるようにしました。認証のない最初の接続から、root権限で動くWebシェルを置くまでの所要時間は15分未満だったとされています。
Fragnesiaは2026年5月に公表された、ローカルで権限を上げるための脆弱性です。単独では「すでに中に入っている人」しか使えません。ところが、外から入る脆弱性と組み合わさると、深刻度の数字だけでは見えない経路ができあがります。機器の中で動くLinuxカーネルの更新も、同じように機器メーカーの手を経て届くものです。
Dreamは、侵害したファイアウォール24台のうち22台について、Webシェルの設置以外の活動は見つからなかったと報告しています。攻撃者はまず1台目から取り出した設定を調べ、米国政府関連の組織だと判断しました。この機器は侵害後にクラッシュしたため、翌24日に同じ組織の2台目を別の攻撃で侵害し、そこから内部へのトンネルを張ります。トンネル越しに、組織内のファイアウォールを一元管理するサーバーを同じ手順で侵害し、その日のうちにActive Directoryへの攻撃を始めました。
Active Directoryへの攻撃の成果としてDreamが確認できたのは、LDAPのサービスアカウントのパスワードの復号と、全ユーザー・全グループの一覧の取得です。多数のアカウントに候補のパスワードを試す「パスワードスプレー」や、裏口となるアカウントの作成、SAMLの署名鍵の取得が成功したかどうかは、わかっていません。
境界の機器は、守るための装置であると同時に、組織の内側の地図を持っている装置でもあります。設定ファイルには、ドメインコントローラーや認証基盤の場所まで書かれていました。修正版の適用は入口をふさぐ作業であり、すでに置かれたWebシェルやトンネルが残っていないかを確かめる作業とは別に考える必要があります。
攻撃者の環境からは、Claude Codeと、中国のLLMであるDeepSeekとKimiを使うよう設定された攻撃支援ツール「aiscan」が見つかっています。ただしDreamは、AIがエクスプロイトや約40本のスクリプトを書いた直接の証拠はないとし、コードの構造や書きぶりからAIの支援を示唆するにとどめています。Unit 42も、10月23日に一度載せたAIエージェントによる攻撃後の活動の記述（欧州の政府機関の事案）を、侵入の入口がPHP2Shellだと確認できないとして25日に撤回しました（いずれも米太平洋時間）。今回の攻撃者の環境にAIツールがあったことと、AIが実際に攻撃を担ったことは、分けて受け取るのがよさそうです。
日本は、攻撃者が標的として絞り込んだ4か国の一つでした。国内で何台が侵害されたかは公表されていません。PHP2Shell自体、AIを使った調査で見つかった脆弱性です。発見が速くなるほど、修正が機器の利用者に届くまでの数日の重みは増していきます。管理画面を外に出さないという古くからの原則が、その数日を支える土台になっていました。
【関連記事】
PHP2Shell、修正から1日｜「被害は確認されていない」をどう読むか？サービスは戻っても残る3つの宿題
修正版の公開翌日の状況をまとめた記事。PAN-OSが影響を受けると公表された時点で、悪用は把握されていないと伝えていた。
【解説】PHP2Shell、AIが見つけたPHPの重大脆弱性 CVE番号の流出で公開を前倒し
PHP2Shellの仕組みと発見の経緯を解説した記事。AIを使った調査で見つかり、CVE番号の流出で公開が1日早まった。
Linuxカーネルに新たな脆弱性「Fragnesia」発見｜一般ユーザーがroot権限を奪取可能、PoCも公開
今回の攻撃で権限昇格に使われたFragnesiaを、5月の公表時に伝えた記事。一般ユーザーがrootを得る仕組みと影響範囲を整理した。
Anthropic Claude Code悪用事件｜中国ハッカーによる自動化サイバー攻撃の脅威
攻撃者がClaude Codeを悪用した2025年の事案。偵察から持ち出しまで、AIが攻撃の大半を担ったとAnthropicが公表した。
【編集部後記】
攻撃者は、侵害した24台のうち22台に手を付けず、Webシェルだけを残していたと報告されています。急いで奥まで入るより、いつでも戻れる鍵を静かに増やしておくほうを選んだように見えます。
修正版を当てた機器でも、その前に置かれた鍵が残っていれば、扉は開いたままです。みなさんの組織では、更新を当てたあとに「すでに誰かが入っていないか」を確かめる手順は、決まっているでしょうか。
【用語解説】
PHP2Shell
2026年10月21日に修正が公開された、PHPの2件の脆弱性（CVE-2026-109618、CVE-2026-109619）の通称。認証なしで遠隔からコードを実行される恐れがある。
Fragnesia
2026年5月に公表されたLinuxカーネルの脆弱性（CVE-2026-46300）。対象の機器上でコードを動かせる低い権限から、root権限に上がることができる。
PAN-OS
Palo Alto Networksのファイアウォールなどで動くOS。今回の攻撃は、その管理画面（HTTPSの管理画面とXML API）を入口にした。
root権限
LinuxなどのOSで、すべての操作が許される最上位の管理者の権限。
Webシェル
Webサーバーに置かれ、ブラウザーなどを通じて外からコマンドを実行できるようにする不正なプログラム。侵入者が後から戻ってくるための入口として使われる。
SELinux
Linuxの強制アクセス制御の仕組み。プロセスごとに、触れてよいファイルや操作を細かく制限する。
トンネル
ここでは、侵害した機器から攻撃者のサーバーへ張られた暗号化の通り道。外からは届かない内部のサーバーへ、攻撃者が接続できるようになる。
Active Directory
Microsoftのディレクトリサービス。組織のユーザー、パソコン、権限をまとめて管理する、社内の認証の土台である。
LDAP
ディレクトリサービスに問い合わせるための通信の決まりごと。Active Directoryのユーザーやグループの情報を読み出すときに使われる。
パスワードスプレー
多数のアカウントに対して、よく使われそうな少数のパスワードを横断的に試す攻撃。一つのアカウントへの連続した失敗を避けて、ロックを逃れようとする。
SAML
一度のログインで複数のサービスを使えるようにする、認証情報のやりとりの規格。署名鍵を盗まれると、正規の利用者になりすました認証情報を作られる恐れがある。
FOFA
インターネットにつながった機器やサービスを検索できる、中国のサービス。
Claude Code
Anthropicが提供する、ターミナルで動くAIのコーディング支援ツール。
【参考リンク】
Dream（外部）
国家や重要インフラ向けのAIサイバー防御を手がける企業。今回の攻撃の痕跡を見つけ、PAN-OSが狙われた経緯を調査して公表した。
Palo Alto Networks セキュリティアドバイザリ CVE-2026-109618（外部）
PHP2ShellがPAN-OSなど同社製品に与える影響と、系列ごとの修正版、回避策、更新履歴を示す公式のセキュリティ情報。
PAN-OS（外部）
Palo Alto Networksの次世代ファイアウォールで動くOSの製品ページ。同社のファイアウォール製品の基盤となる機能を紹介する。
PHP 公式サイト（外部）
PHPの開発チームの公式サイト。今回の脆弱性の修正版の告知や、サポートが続く版、サポートを終えた版の一覧を公開している。
【参考記事】
Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 29)（Unit 42）（外部）
Unit 42の脅威情報。PAN-OSの公開された管理画面への悪用とDreamの報告の検証を追記し、影響は導入済み機器の約0.02%とする。
Millions of PHP Instances Exposed – What Organizations Need To Do Right Now（Palo Alto Networks）（外部）
Palo Alto Networksの10月21日のブログ。露出したPHPのインスタンスを2,200万件とし、修正だけに頼らない対策を説く。
What the PHP2Shell vulnerability means for Fortinet, Cisco and Palo Alto customers（Help Net Security）（外部）
Help Net Securityの10月22日の記事。ネットワーク機器メーカー3社について、影響範囲と修正版の提供予定を比べている。
Hackers Chain PHP2Shell and Linux Kernel Exploits to Gain Root Access on 25 Servers（Cyber Security News）（外部）
Cyber Security Newsの10月29日の記事。Dreamの調査を紹介し、25台の侵害と内部のADへ進んだ攻撃の流れをまとめる。
