PHP2Shell攻撃、公開パッチ前に始まっていたとAWS

2件の重大なPHP脆弱性の修正を急ぐ管理者は、脆弱性が公開される前に悪用の試みが始まっていた可能性に直面している。

Amazon Web Servicesは、意図的に脆弱なインターネット公開システムの活動を調査し、10月17日までさかのぼる攻撃の試みを確認した。PHP2Shellと総称される脆弱性の公開修正は10月21日に提供された。

開示前の活動

ハニーポットは、脆弱に見えるよう設定され、攻撃手法を観測するためのシステムだ。AWSによると、10月17日の試みはproxyやVPNなど、商用匿名化ネットワークに関連するIPアドレスから行われた。

AWSは、攻撃者が開示前に情報を得た方法を特定できなかった。

悪用は拡大

修正が公開されると、公開の概念実証エクスプロイトが現れ始めた。AWSによると、予定された公開開示の数時間前に登場したものもあった。

AWSは、PHP2Shellが現在、実際の環境で広く悪用されていると評価している。

今回の発見が示すこと

証拠からは10月17日の活動の背後にいる人物、悪用の成否、情報の入手経路は確定できない。ただし、公開前にハニーポットを標的とする試みが記録されたことは確認できる。

セキュリティチームは、影響を受けるPHP環境を特定し、修正を適用し、悪用の兆候を調査する必要がある。

パッチ適用を急ぐべき理由

公開開示はリスクの始まりではなく、より多くの防御側と攻撃側にリスクが見えるようになる時点だ。PHP2Shellの報告は、悪用がその前に始まる可能性を示している。

AWSは悪用がすでに広がっていると述べており、修正と調査が直ちに必要だ。

この記事はWiredの報道に基づく。原文を読む。