Amazon、PHP2Shellの悪用を公開前の10月17日にハニーポットで検知
Amazon identifies Oct 17 PHP2Shell exploitation prior to public disclosure
Amazon Threat Intelligenceは、PHP2Shellの悪用試行がCVE-2026-109618とCVE-2026-109619の公開より4日前の2026年10月17日に、ハニーポット網MadPotのテレメトリで確認されていたと発表した。攻撃元は商用匿名化ネットワークのIPで、公開前の情報入手経路は不明。パッチ公開後は数時間でPoCが出現し、AI支援解析により攻撃までの時間が構造的に短縮していると指摘する。
調整された開示は依然として正しいモデルだが、防御側は公開日が悪用の最早日だと仮定すべきではない。
HNでの議論
86- andyvanosdale
もしこれが10月17日にプローブされ、かつ/または悪用されていたのだとしたら、これはPHPチームが公開アナウンスでChainguardを批判したことに対して影を落とす話だ。
要するに、PHPチームは自分たちが作り出したこの混乱において責任を回避し、放棄しているということだ。「Chainguardがエンバーゴを破った」「金で支援してくれ」「我々はただのボランティアだ」「何年も前から知識はあったが、セキュリティ修正ではなく機能を出したかったのでPOCはなかった」。全部ただの責任転嫁だ。
この騒動を見て、自分が関わるどんなプロジェクトでもPHPは絶対に使わないと思った。PHPチームはとんでもない失敗をやらかしておいて、あちこちに責任をなすりつけている。
- hyperpape
Matthew Princeのツイートもあって、それによるとCloudflareはアナウンス前から数千回の試行を観測し、https://x.com/eastdakota/status/2113079352682570051 、アナウンス後には数万回、そして今では数百万回に達しているという。
残念ながら、アナウンスが14:00 UTCを指していると読むなら、それはChainguardがイメージを公開してから数時間後になる。人々がChainguardのビルドを見て、そこから問題を理解してエクスプロイトを組み立てたというのがあり得る話なのかは分からないが、正確なタイムラインがあればもっとよく理解できるだろう。
- VladVladikoff
サーバーログでそれを狙ったプロービングは見たが、実際の悪用は見ていない。ボットネットが脆弱性スキャナにこれを追加したのだと思うが、実際に動作するエクスプロイトの例はまだ見たことがない。GitHubにはバイブコーディングで書かれた試みが何百も転がっているが、私の知る限り動くものは一つもない。ここで私の間違いを証明してくれる人がいたらぜひ見てみたい。
あと、このAmazonの投稿は恥ずかしい。彼らは17日にはこれを知っていたのに、エンバーゴの期限を守れず、Amazon Linuxのパッチも当てられていない（彼らのパッチは今日、10月22日にリリース予定だ）。
- decidu0us9034
「悪用の試行」という表現は曖昧だ。ボットスキャナは常に大量の奇妙なトラフィックを生成し続けている。ラボ環境ではなく、実際の多様な条件下で動作する、ポータブルで信頼性の高いエクスプロイトを誰か持っているのか、そもそもそれは実現可能なのか？そうは思えない。LLMは実用的なエクスプロイトの開発を自動化するが、そもそもそれを難しくしているあらゆる制約を取り除くわけではない。この点を人々が見落としている気がする、どうだろう。
- menomatter
彼らは試行と侵入成功を区別しているのだろうか？このエクスプロイトが使いやすいものなのかどうかを理解しようとしている。昨日ここに、このエクスプロイトは使いにくく、LFIが必要だという主張の記事があった。