【PHP2Shell調査】公開IPアドレス型IOCの約27％に相当する3 IPの活動履歴を「Senda-Nexus観測網」で確認
公開IPアドレス型IOCに含まれない13IPにもPHP2Shell関連の通信特徴を確認
株式会社RainForest（本社：東京都杉並区、代表：岡田晃市郎）は、2026年10月21日に公開されたPHPの重大な脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）について、独自のハニーポット観測基盤「Senda-Nexus観測網」に蓄積された通信記録を調査しました。
脅威情報分析基盤「Senda-Nexus」を用いて、VulnCheckおよびAmazon Threat Intelligenceが公開した脅威情報と観測履歴を照合した結果、調査対象とした11の公開IPアドレスのうち、3 IP（約27％）の活動履歴を確認しました。
さらに、HTTP通信の技術的な特徴に基づく調査では、PHP2Shell関連の特徴を持つPOST通信を21件観測しました。これらの通信の送信元は14IPであり、公開IPアドレス型IOCに含まれない13 IPからも、PHP2Shellに関連する共通のHTTPリクエスト構造が確認されました。
特に、IOCに含まれる85.11.167.243については、PHP2Shell関連通信を観測した約3日前の10月19日から、ネットワーク機器や管理インターフェースなどを対象とした探索活動が記録されていました。
また、Senda-Nexus観測網では、HTTPの標準的な80番ポートだけでなく、23番、445番、3389番、22番ポートでもPHP2Shellに関連するHTTP形式の通信を観測しています。今回の調査では、IOCとの一致だけでなく、通信内容や過去の観測履歴を関連付け、単一イベントからは把握できない活動の変化を分析しました。
調査結果の概要
|
調査項目 |
観測結果 |
|
対象脆弱性 |
CVE-2026-109618 / CVE-2026-109619 |
|
調査対象の公開IPアドレス |
11 IP |
|
Senda-Nexus観測網で活動履歴を確認 |
3 IP（約27％） |
|
PHP2Shell関連のHTTP POST通信 |
21件 |
|
PHP2Shell関連のHTTP POSTの送信元 |
14 IP |
|
公開IPアドレスと一致する送信元 |
1 IP |
|
公開IPアドレス型IOCに含まれない送信元 |
13 IP |
|
先行する探索活動を確認したIP |
85.11.167.243 |
|
PHP2Shell関連のHTTP POSTの観測日 |
2026年10月22日 |
|
関連通信を観測した宛先ポート |
80、23、445、3389、22 |
※約27％は、今回調査対象とした11の公開IPアドレス型IOCのうち、当社観測網で活動履歴を確認できた割合です。世界全体の攻撃の捕捉率を示すものではありません。
1. PHP2Shellの公開レポートとSenda-Nexus観測網の比較
PHP2Shellの概要と公開された脅威情報
PHP2Shellは、PHPのコアランタイムに存在する2つの重大な脆弱性「CVE-2026-109618」「CVE-2026-109619」の総称です。これらはPHP内部のメモリ管理に関連する問題であり、特定の条件下では、認証されていない第三者によるリモートコード実行（RCE）につながるおそれがあります。
2026年10月21日、VulnCheckはPHP2Shellに関する技術情報と、観測された探索・悪用試行の情報を公開しました。
また、Amazon Threat Intelligenceは、同社の観測基盤「MadPot」において、一般公開の4日前に当たる10月17日にPHP2Shell関連の悪用試行を観測していたことを報告しています。
これらの公開情報を受け、RainForestではSenda-Nexus観測網に保存された通信記録との照合を実施しました。
公開IPアドレス型IOCの11 IP中3 IP（約27％）の活動履歴を確認
VulnCheckおよびAmazon Threat Intelligenceが公表した脅威情報から抽出した計11のIPアドレス型IOCについて、当社観測網の記録を調査しました。その結果、11 IPのうち3 IPについて活動履歴が確認されました。
|
IOC |
Senda-Nexus観測網での観測結果 |
|
85.11.167.243 |
PHP2Shell関連のHTTP POSTおよび先行する探索活動を確認 |
|
45.198.224.169 |
Web関連の探索や別プロトコルでのコマンド試行に関する記録を確認 |
|
91.90.123.25 |
限定的なWebアクセスを確認 |
|
その他8 IP |
今回の調査対象期間では該当する活動履歴を確認できず |
さらに当社では、公開IPアドレス型IOCとの一致だけでなく、HTTPリクエストの技術的な特徴に基づく分析を実施しました。その結果、IOCに含まれない送信元IPについても、公開されたPHP2Shell関連の通信特徴と共通するHTTPリクエスト構造が確認されました。
今回の調査では、公開IPアドレス型IOCと通信内容の双方から関連性を分析することで、IOCの照合だけでは把握できない通信についても確認しています。
2. 公開IPアドレス型IOC「85.11.167.243」の約3日前からの探索活動を可視化
今回の調査で特に注目したのは、VulnCheckが公開したIOCに含まれる85.11.167.243の活動履歴です。Senda-Nexus観測網では、PHP2Shell関連通信が記録された2026年10月22日より前の、10月19日から同IPによる活動を観測していました。
Senda-Nexusによって過去の観測履歴を調査したところ、10月19日にはネットワーク機器やIoT機器の管理機能などに関連するアクセスが見られ、その後、10月22日にはPHP関連エンドポイントへのアクセスとPHP2Shell関連のHTTP POSTが観測されました。
85.11.167.243の活動タイムライン
|
日時（日本時間） |
主な観測内容 |
|
10月19日 21時台 |
当該送信元IPの活動を初めて確認 |
|
10月19日 |
ネットワーク機器、IoT機器、管理APIなどに関連する探索 |
|
10月22日 20時台 |
PHP関連エンドポイントへのアクセス |
|
10月22日 21時台 |
PHP2Shell関連のHTTP POST通信を観測 |
当該IPアドレスについては、調査対象となったセッション記録から163件の活動履歴を確認しています。これらの記録は、PHP2Shell関連通信が観測される以前から、同じ送信元IPが複数種類のサービスへアクセスしていたことを示しています。
公開IPアドレス型IOCから過去の探索活動をたどる
新たな脆弱性が公開された場合、その脆弱性に関連するIOCや攻撃シグネチャを利用した検知は重要です。しかし、ある送信元から脆弱性関連の通信を観測したという情報だけでは、その送信元が過去にどのような活動を行っていたのかまでは分かりません。
今回、Senda-Nexusを利用して過去の観測履歴をさかのぼることで、PHP2Shell関連通信が観測された時点だけでなく、約3日前からの探索活動を時系列で把握できました。
一方、10月19日に観測された探索活動がPHP2Shellの悪用を目的としていたことや、各時点の通信を同一の人物・組織が行ったことを確認したものではありません。
今回の分析の特徴は、IOCを起点として、脆弱性関連通信の前後に存在する活動を過去の観測データから関連付けられた点にあります。
3. 公開IPアドレス型IOCに含まれない13 IPにもPHP2Shell関連の通信特徴を確認
当社では、公開IPアドレス型IOCに依存しない調査として、HTTPリクエストに含まれる技術的特徴に基づく分析も行いました。
その結果、2026年10月22日に観測されたPHP2Shell関連のHTTP POST通信21件について、14の送信元IPアドレスを確認しました。このうち、公開IPアドレス型IOCと一致したのは85.11.167.243の1 IPであり、残る13 IPは今回調査対象としたIOC一覧には含まれていませんでした。
これら13 IPのHTTP通信記録にも、公開されたPHP2Shellの技術情報と整合する通信構造が認められました。また、当社観測データでは、複数の送信元IPに共通するUser-Agentやリクエスト本文の特徴を確認しました。
公開技術情報と整合する構造、および当社観測で共通する特徴
PHPエンドポイントへのHTTP POST
PHP2Shellとの関連を示す識別子を含むUser-Agent
multipart形式のリクエスト本文
PHPのセッションアップロード処理に関連するパラメータ
複数の通信間で一致または類似する送信データ
これらの特徴を組み合わせることで、公開IPアドレス型IOCに含まれない送信元の関連通信も調査できます。ただし、複数の送信元で同一または類似する通信が記録されていることは、それぞれが独立した攻撃者であることや、脆弱性の悪用に成功したことを意味しません。
複数のポートで観測されたPHP2Shell関連のHTTP通信
Senda-Nexus観測網では、受信した通信の内容を分析し、その特徴に応じて応答するハニーポットの種類を選択する仕組みを採用しています。そのため、一般的なWebサービス用ポート以外に送信された通信であっても、HTTP形式の内容であればWeb関連の通信として観測・分析することができます。
今回のPHP2Shell関連のHTTP POST通信21件について、受信先のポートを調査したところ、以下の分布が確認されました。
|
宛先ポート |
一般的な関連サービス |
観測件数 |
|
80 |
HTTP |
4件 |
|
23 |
Telnet |
8件 |
|
445 |
SMB |
6件 |
|
3389 |
RDP |
2件 |
|
22 |
SSH |
1件 |
|
合計 |
21件 |
これらの通信には、PHP2Shellに関連する共通のHTTPリクエスト構造が含まれていました。一般的なWebサービス用ポート以外に送信されたHTTP形式の通信も観測対象とできることは、Senda-Nexus観測網の特徴の一つです。
なお、この結果は、PHP2ShellによってTelnet、SMB、RDP、SSHなどのサービスが直接攻撃されたことや、侵害されたことを意味するものではありません。
今回の観測結果は、送信先のポート番号だけで通信の種類を判断せず、実際の通信内容を分析することの重要性を示しています。
4. その他の公開IPアドレス型IOCおよび関連IPの活動傾向
今回の調査では、PHP2Shell関連のHTTP POSTを確認した85.11.167.243以外のIOCについても、過去の活動履歴を調査しました。
45.198.224.169：Web探索と別プロトコルでの活動
45.198.224.169については、2026年10月20日からWeb関連の探索活動が記録されていました。さらに、別プロトコルに関連するセッションでは、コマンド実行を試みたとみられるイベントも確認されています。ただし、これらの活動がPHP2Shellの脆弱性と直接関係していたことや、実際にコマンド実行に成功したことを確認したものではありません。
91.90.123.25：限定的なWebアクセス
91.90.123.25については、今回の調査対象データに限定的なWebアクセスが記録されていました。一方、今回の観測記録だけでは、PHP2Shell関連通信との直接的な関係を判断する十分な材料は得られていません。
公開IPアドレス型IOCの一致だけでは把握できない活動の違い
今回の調査では、IOCに含まれる送信元IPであっても、観測される活動の内容や頻度が一様ではないことが分かりました。継続した探索活動が確認されたIPがある一方、限定的なアクセスしか確認できないIPもあります。
また、公開IPアドレス型IOCに含まれない送信元についても、PHP2Shell関連の通信特徴と共通するHTTPリクエスト構造が観測されていました。これらの結果は、既知のIOCとの一致だけでなく、通信内容、観測日時、対象サービス、過去の活動履歴などを組み合わせて分析することの重要性を示しています。
Senda-Nexus観測網について
Senda-Nexusは、自社開発ハニーポットなどから得られる観測データを関連付け、サイバー攻撃の活動や背景を分析するための脅威情報分析基盤です。
Senda-Nexus観測網は、多様なネットワーク通信を継続的に観測し、通信内容に応じた応答と記録を行う独自のハニーポット観測基盤です。一般的なサービスのポート番号だけで通信の種類を判断せず、受信した通信の内容を踏まえて分析することで、さまざまな探索活動や攻撃試行の記録を収集しています。
今回のPHP2Shell調査では、公開された11のIPアドレス型IOCのうち3 IPの活動履歴を確認するとともに、特定の送信元IPについて、PHP2Shell関連通信の約3日前からの探索活動を把握しました。また、公開IPアドレス型IOCに含まれない13 IPからも、PHP2Shell関連の通信特徴と共通するHTTPリクエスト構造を確認しました。
「何が観測されたのか」だけでなく、「その前に何が起きていたのか」「複数の事象がどのようにつながっているのか」を読み解くこと。
Senda-Nexusは、蓄積された観測データから、まだ見えていない意味や関係性を見いだし、セキュリティにおける次の判断につながる情報の提供を目指しています。
今後の取り組み
株式会社RainForestは今後も、Senda-Nexus観測網を通じた継続的な通信の観測と、公開された脅威情報の分析を進めていきます。脅威情報分析基盤Senda-Nexusを通じて、単発の攻撃イベントの検知だけでなく、その前後に存在する探索活動や異なる事象間の関連性を分析し、サイバーセキュリティ対策に活用できる知見の提供を目指します。
参考情報
VulnCheck：PHP2Shell Vulnerabilities: CVE-2026-109618 and CVE-2026-109619
https://www.vulncheck.com/blog/php2shell-vulnerabilities
Amazon Threat Intelligence：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
AWS日本語解説：PHP2Shellの脆弱性公開前の悪用に関する報告
調査データに関する注意事項
本発表は、2026年10月23日までに取得したSenda-Nexus観測網の通信記録を対象とした分析に基づきます。記載した通信件数および送信元IP数は、観測ログに基づく集計値であり、独立した攻撃者数や侵害件数を示すものではありません。また、PHP2Shellに関連する通信の特徴が確認されたことは、脆弱性の悪用成功や攻撃主体の同一性を意味するものではありません。
株式会社RainForestについて
株式会社RainForestは、サイバーセキュリティ分野において、脅威情報の収集・分析、OSINT調査、ハニーポット観測、セキュリティ分析基盤の開発に取り組んでいます。Senda-Nexus、Senda-Inquis、Senda-ArgusなどのSendaシリーズを通じて、脅威情報の分析や攻撃対象領域の把握を支援し、Active Cyber Defense（能動的なサイバー防御）の実現に向けた技術開発を進めています。
会社名：株式会社レインフォレスト（RainForest）
本社所在地：東京都杉並区成田西2-8-10
代表者：岡田晃市郎
公式サイト：https://www.rainforest-cs.jp/
本件に関するお問い合わせ
株式会社レインフォレスト
メール：info@rainforest.tokyo
Webサイト：https://www.rainforest-cs.jp/
X（旧Twitter）：https://x.com/KouichirouOkada
