--- title: "Sumo LogicでPHP2Shell関連のアクティビティを調査する方法" page_name: "Sumo LogicでPHP2Shell関連のアクティビティを調査する方法" type: "blog" slug: "investigate-php2shell-activity" published_at: "2026-10-23" modified_at: "2026-10-30" url: "https://www.sumologic.com/ja/blog/investigate-php2shell-activity" canonical: "https://www.sumologic.com/ja/blog/investigate-php2shell-activity" markdown_url: "https://www.sumologic.com/ja/blog/investigate-php2shell-activity.md" lang: "ja" excerpt: "PHP2Shell（CVE-2026-109618およびCVE-2026-109619）に関連するアクティビティを特定し、Sumo Logicでの対応方法を学習します。" taxonomy_blog_category: - "SIEM" - "SecOps とセキュリティ" --- [ すべてのブログ ](https://www.sumologic.com/ja/blog "ブログ")[SIEM](https://www.sumologic.com/ja/blog/cloud-siem), [SecOps とセキュリティ](https://www.sumologic.com/ja/blog/secops-security) # Sumo LogicでPHP2Shell関連のアクティビティを調査する方法 [Paul Sheck](#blog-author-block-345)[Daniel Kaiser](#blog-author-block-332) October 23, 2026 7 min read [SIEM](https://www.sumologic.com/ja/blog/cloud-siem), [SecOps とセキュリティ](https://www.sumologic.com/ja/blog/secops-security) ##### 目次 **PHP**（PHP: Hypertext Preprocessorの再帰的頭字語）は、主にウェブ開発に使用される無料のオープンソースサーバーサイドスクリプト言語です。ウェブテクノロジートラッカーのW3Techsによると、[PHPは「プログラミング言語を特定できるすべてのウェブサイトの約70%で実行されている」](https://www.reuters.com/technology/what-is-php-why-did-it-take-government-websites-offline-2026-10-21/)とされています。 **PHP2Shell**はPHPインタープリタ自体の重大な欠陥のペアで、それぞれCVSS v4.0スコアが9.2です。どちらも、認証されていない攻撃者が、アプリケーションコードが実行される前に、単一の細工されたウェブリクエスト、またはそのペアでウェブサーバー上のコードを実行できます。 - CVE-2026-109618はPHPのメモリ不足処理を悪用します。 - CVE-2026-109619は同じワーカー上の以前の失敗したリクエストから残された状態を悪用します。 バグはWordPress、Drupal、Magentoではなく、PHP自体に存在するため、影響を受けたサーバー上のすべてのアクセス可能なPHPエンドポイント（ログインページ、静的フォーム、ヘルスチェックを含む）が公開されます。 過去10年間のすべてのPHPリリースが影響を受けます（5.4までさかのぼります）。修正されたバージョンは8.5.12、8.4.27、8.3.36、8.2.35です。PHP 8.1以前は最小限のソースバックポートのみを取得します。 ## PHP2Shell開示タイムライン 2つの重大なPHP脆弱性CVE-2026-109618およびCVE-2026-109619は、プライベート研究から数日以内にアクティブな悪用へと進みました。以下はイベントのタイムラインです。 - **2026年8月：**Califはリモートコード実行（RCE）パスをLLM支援監査中に発見し、PHPに報告します。Wizは独立して欠陥を発見し、PHPに報告します。 - **2026年10月初旬：**Cloudflareはウェブアプリケーションファイアウォール（WAF）保護の構築を開始します。 - **2026年10月17日：**AWSは予定されていた調整された開示の4日前に、Amazon MadPotに対する最初の既知の悪用試行を報告します。 - **2026年10月20日：**PHP内の2つの重大なリモートコード脆弱性CVE-2026-109618およびCVE-2026-109619の詳細が、PHP Foundationによって予定されていた2026年10月22日の調整された開示の前にリークされました。 - **2026年10月21日：**PHP Foundationは脆弱性を早期に公式に開示し、すべてのユーザーに更新を勧告します。影響を受けたソフトウェアバージョンの緊急更新は同日後に配信されます。 - **2026年10月21日以降：**研究者は広範な悪用試行を報告しています。 ## 環境内のPHP2Shellアクティビティを検索する方法は？ Sumo Logicを使用してPHP2Shellアクティビティを検索してみましょう。アクティビティの各タイプについて、2つの検索が見つかります。1つは様々なタイプの生ログに対するもので、もう1つは[正規化されたレコード](https://www.sumologic.com/help/docs/cse/schema/record-processing-pipeline/)に対するもので、[Sumo Logic Cloud SIEM](http://www.sumologic.com/ja/solutions/siem)を使用しているお客様向けです。 開始する前に2つの注意事項があります。 - **生ログ検索はチューニングが必要です。**生ログ検索の例には、Apacheアクセスログなどのログソースタイプに固有の解析操作が含まれています。また、ログソースをオンボードする際に割り当てるログカテゴリ化（`_sourceCategory=linux/system webserver`など）にスコープされています。ここに含まれている生ログ検索の例を使用したい場合は、環境に合わせてカスタマイズする必要があります。 - **レコード検索はそのまま機能します。**Sumo Logic Cloud SIEMの[正規化スキーマ](https://www.sumologic.com/help/docs/cse/schema/)に基づいているため、変更なしで使用できます。 これらの検索は、初期悪用後のウェブサーバー上の動作を探します。悪用ペイロードを含む可能性のあるHTTPトランザクションを検索しません。多くの場合、ウェブアプリケーションファイアウォールなどのセキュリティ製品がインターネット公開ウェブサーバーの「前に」あり、これらの製品はHTTP分析を使用したウェブサーバー悪用に関する独自の検出セットを持っています。これらの製品からのテレメトリは、相関、アラート、および詳細な分析のためにSumo Logicに取り込まれるべきです。 このブログの検出エンジニアリングの焦点は、初期悪用と成功した攻撃からのフォローアップアクティビティに関連するウェブサーバー上の動作観察にあります。これらの観察は、その後、他のセキュリティ製品からのテレメトリと相関させることができます。 ### ウェブサーバーエラーのスパイクを探す PHP2Shell脆弱性はPHPエラー処理の欠陥に由来するため、悪用試行はウェブサーバー上のエラーとして表示されます。Sumo Logicの[timeslice検索演算子](https://www.sumologic.com/help/docs/search/search-query-language/search-operators/timeslice/)を使用すると、ウェブサーバー上のエラーアクティビティのスパイクがあったかどうかを簡単に評価できます。 以下の例では、サーバーサイドエラー（HTTP応答コード500～599範囲を生成するもの）の数を1時間ごとにカウントしています。結果を視覚的にスキャンしてスパイクを探すことができます。 ##### **例1：（Syslogでラップされた）Apacheアクセスログ** ``` (_sourceCategory=linux/system webserver_system=apache webserver_farm=* OR _sourceCategory=linux/syslog) httpd-access HTTP (50* OR 51* OR 52* OR 53* OR 54* OR 55* OR 59*) | parse "httpd-access: *" as mesg nodrop | parse regex field=mesg "^(?\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})\s+(?\S+)" nodrop | parse regex field=mesg "\"(?[A-Z]+)\s(?\S+)\sHTTP\/[\d\.]+\"\s(?\d+)\s(?[\d-]+)" nodrop | where !isNull(status_code) and status_code >= 500 and status_code <= 599 | timeslice 1h | count by _timeslice, _sourceHost | sort by _timeslice, _count desc ``` ##### 例2：Sumo Logic Cloud SIEMレコード 以下のクエリは、デプロイメント内でweb\_serversまたはhttp\_servers [標準マッチリスト](https://www.sumologic.com/help/docs/cse/match-lists-suppressed-lists/standard-match-lists/#standard-match-lists)が作成および入力されていることに依存していることに注意してください。 ``` _index=sec_record* | where http_response_statusCode >= 500 and http_response_statusCode <= 599 | where jsonArrayContains(listMatches, "web_servers") or jsonArrayContains(listMatches, "http_servers") | timeslice 1h | count by _timeslice, dstDevice_ip | sort by _timeslice, _count desc ``` *図1：Webサーバーエラーアクティビティのスパイク* ### Webサーバープロセスがシェルを生成していることを特定する 攻撃者がPHP2Shellを正常に悪用した場合、WebサーバーまたはPHPプロセスの子プロセスを通じて悪意のあるコードを実行する可能性があります。以下のクエリは、WindowsおよびLinux環境の両方で、一般的なWebサーバープロセスが完全なOSシェルを起動する場合を特定します。 ##### 例1：Windowsプロセスログ ``` _sourceCategory ="windows/eventlogs" | parse "*" as eventId | where eventId = "4688" | parse "*" as parentBaseImage nodrop | parse "*" as baseImage nodrop | parse "*" as commandLine nodrop | parse "*" as user_username nodrop | parse "*" as user_domain nodrop | parse regex "(?[^<]+)" nodrop | where parentBaseImage matches /(?i).*(w3wp\.exe|httpd\.exe|nginx\.exe|php-cgi\.exe|tomcat\.exe)$/ | where baseImage matches /(?i).*(cmd\.exe|powershell\.exe|bitsadmin\.exe|pwsh\.exe|powershell_ise\.exe)$/ | fields device_hostname, user_domain, user_username, parentBaseImage, baseImage, commandLine ``` ##### 例2：Sumo Logic Cloud SIEMレコード ``` _index=sec_record* | where parentBaseImage matches /(?i).*(w3wp\.exe|httpd\.exe|nginx\.exe|php-cgi\.exe|tomcat\.exe|\/httpd|\/nginx|\/php-cgi|\/tomcat|\/apache2|\/apache)$/ | where baseImage matches /(?i).*(cmd\.exe|sh\.exe|bash\.exe|powershell\.exe|bitsadmin\.exe|pwsh\.exe|powershell_ise\.exe|\/bash|\/sh|\/dash|\/zsh|\/ksh|\/csh|\/python3?|\/perl)$/ | fields device_hostname, device_ip, user_username, parentBaseImage, baseImage, commandLine ``` *図2：nginxから起動されるシェルを検出* ### Webサーバープロセスが一般的なWebシェルコマンドを実行していることを確認する Webサーバーは、完全なOSシェルを経由するのではなく、シェルコマンドを直接実行することもあります。以下のクエリは、Webサーバープロセスの子プロセスとして実行される一般的な検出、認証情報の収集、および流出コマンドを特定します。 ##### **例1：Windowsプロセ**スログ ``` _sourceCategory ="windows/eventlogs" | parse "*" as eventId | where eventId = "4688" | parse "*" as parentBaseImage nodrop | parse "*" as baseImage nodrop | parse "*" as commandLine nodrop | parse "*" as user_username nodrop | parse "*" as user_domain nodrop | parse regex "(?[^<]+)" nodrop | where parentBaseImage matches /(?i).*(w3wp\.exe|httpd\.exe|nginx\.exe|php-cgi\.exe|tomcat\.exe|apache).*/ | where commandLine matches /(?i).*(whoami|net user |ping |systeminfo |netstat |arp -a|ipconfig |ifconfig |curl |wget ).*/ | fields device_hostname, user_domain, user_username, parentBaseImage, baseImage, commandLine ``` ##### 例2：Sumo Logic Cloud SIEMレコード ``` _index=sec_record* | where parentBaseImage matches /(?i).*(w3wp\.exe|httpd\.exe|nginx\.exe|php-cgi\.exe|tomcat\.exe|apache|\/httpd|\/nginx|\/php-cgi|\/tomcat|\/apache2).*/ | where commandLine matches /(?i).*(whoami|net user |ping |systeminfo |netstat |arp -a|ipconfig |ifconfig |curl |wget |id |uname |cat \/etc\/passwd|nc -).*/ | fields device_hostname, device_ip, user_username, parentBaseImage, commandLine ``` *図3：Internet Information Serverの子プロセスとしてのリモートwgetコマンド* ## Sumo Logic Cloud SIEM検出 Sumo Logic Cloud SIEMには、Webシェルアクティビティを検出し、PHP2Shellによって正常に悪用されたWebサーバーを特定するのに役立つ、すぐに使用できるルールが複数あります。ルールの検出理論は、上記で説明したクエリと同じです。つまり、Webサーバープロセスの異常な子プロセスとWebサーバーのエラー率のスパイクです。 以下の検出は、潜在的な侵害を調査するのに役立ちます。 | Cloud SIEMルールID | ルール名 | |---|---| | MATCH-S00164 | Webサーバーによって生成された疑わしいシェル | | MATCH-S00174 | 一般的なWebシェルコマンドを実行するWebサービス | | MATCH-S00539 | 疑わしいプロセスを実行するWebサーバー\* | | OUTLIER-S00036（新規） | 送信元IPからのHTTPサーバーエラーのスパイク | | OUTLIER-S00037（新規） | 宛先IPへのHTTPサーバーエラーのスパイク | 前述のように、CHAINルールを作成することで、PHP2Shell悪用の検出精度を高めることができます。CHAINルールは、エンティティのPHP2Shell（WAFアラートなど）のエッジデバイス観測と、上記の表のWebシェル検出ロジックを相関させます。 これらのルールには、[標準マッチリスト](https://www.sumologic.com/help/docs/cse/match-lists-suppressed-lists/standard-match-lists/#standard-match-lists)の作成と入力が必要です。MATCH-S00539は「web\_servers」マッチリストを使用して、Webサーバー上のプロセス実行への検出をスコープします。 OUTLIER-S00036およびOUTLIER-S00037は、サーバー側エラーを追跡するために「web\_servers」または「http\_servers」マッチリストが必要です。[マッチリストを作成して入力する方法](https://help.sumologic.com/docs/cse/match-lists-suppressed-lists/create-match-list/)をご覧ください。 ## PHP2Shellを修正および軽減するための推奨事項 PHPグループのガイダンスは明確です。今すぐ更新してください。 「リスク対象：Webリクエストを提供するすべてのPHPインストール（PHP-FPM、mod\_php付きApache、php-cgi、FrankenPHP、LiteSpeedを含む）。mod\_phpのリスクが最も高いと考えられており、認証されていないリクエストがアプリケーションコードが実行される前に攻撃をトリガーできる実証済みの悪用があります。」PHPグループの完全なアドバイザリを[こちら](https://www.php.net/archive/2026.php#2026-10-21-5)でご覧ください。 [コミュニティ分析によると、悪用が成功するとWebサーバーユーザーコンテキストでコマンド実行が可能になります](https://www.crowdstrike.com/en-us/blog/crowdstrike-protects-customers-from-php-rce-zero-days/)。そこから、攻撃者はWebシェルをデプロイし、設定ファイルからAPIおよびデータベース認証情報を収集し、内部ネットワークに移動できます。 すぐに更新することが推奨されます。まだ更新できない場合は、上記の検索と検出を使用して、影響を受けるサーバーを監視し、悪用が成功したことを示す悪用後のアクティビティを検出してください。 Cloud SIEMをまだお持ちでなく、これらのような脅威を検出および対応するのにどのように役立つかを理解したい場合は、[デモを予約して詳細をご覧ください](http://www.sumologic.com/ja/request-demo)。 ## 参考資料とその他のリソース #### NIST脆弱性情報 1. 2. #### PHPのガイダンス 3. 4. #### サイバーセキュリティコミュニティのリソースとレポート 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. ### 記事タグ - [SIEM](https://www.sumologic.com/ja/blog/cloud-siem) - [SecOps とセキュリティ](https://www.sumologic.com/ja/blog/secops-security) Paul Sheck Manager, Threat Labs Paul Sheck loves patterns, games and process, and with 10+ years of security experience it’s a natural fit to apply these to security data within Sumo Logic’s Threat Labs team. When not working, Paul is either playing video games, doing photography, and/or enjoying time with his twin teenagers. Daniel Kaiser Senior Threat Research Engineer II Dan has over a decade of experience in cybersecurity, focusing on threat research, detection engineering, SIEM troubleshooting and capture-the-flag challenge development. As a detection engineer, he has developed high-quality analytics content centered on User and Entity Behavior Analytics, Network Detection and Response and the MITRE ATT&CK framework. Dan has published multiple blogs and delivered presentations for SANS, LogRhythm, Ultimate Windows Security and BrightTALK. Dan lives in Lakewood, Colorado, with his wife and dog. He enjoys running, snowboarding and cycling. [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.sumologic.com%2Fja%2Fblog%2Finvestigate-php2shell-activity "Share on Facebook")[](https://twitter.com/intent/tweet?text=Sumo%20Logic%E3%81%A7PHP2Shell%E9%96%A2%E9%80%A3%E3%81%AE%E3%82%A2%E3%82%AF%E3%83%86%E3%82%A3%E3%83%93%E3%83%86%E3%82%A3%E3%82%92%E8%AA%BF%E6%9F%BB%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95&url=https%3A%2F%2Fwww.sumologic.com%2Fja%2Fblog%2Finvestigate-php2shell-activity "Share on X")[](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.sumologic.com%2Fja%2Fblog%2Finvestigate-php2shell-activity "Share on LinkedIn")[](https://api.whatsapp.com/send?text=Sumo%20Logic%E3%81%A7PHP2Shell%E9%96%A2%E9%80%A3%E3%81%AE%E3%82%A2%E3%82%AF%E3%83%86%E3%82%A3%E3%83%93%E3%83%86%E3%82%A3%E3%82%92%E8%AA%BF%E6%9F%BB%E3%81%99%E3%82%8B%E6%96%B9%E6%B3%95%20https%3A%2F%2Fwww.sumologic.com%2Fja%2Fblog%2Finvestigate-php2shell-activity "Share on WhatsApp")[](https://www.sumologic.com/feed?post_type=blog "RSS Feed") [前のブログ Root Cause Agent：オブザーバビリティへのエージェント型アプローチ](https://www.sumologic.com/ja/blog/root-cause-agent-agentic-approach-to-observability) この記事を読まれた方は、こちらもご覧になっています [ SaaS セキュリティのための CASB 対 SIEM September 30, 2026 ](https://www.sumologic.com/ja/blog/casb-vs-siem-saas-security)[ AI SOCの解説：現代の脅威に対応するインテリジェントなセキュリティ August 26, 2026 ](https://www.sumologic.com/ja/blog/ai-soc-intelligent-security-for-modern-threats)[ フィッシングインシデントを調査するために必要なログ July 2, 2026 ](https://www.sumologic.com/ja/blog/ai-phishing-logs-you-need)[ SIEM を置き換える前に：AI 駆動型セキュリティには、集中管理されたデータだけでなく、運用コンテキストが必要です May 21, 2026 ](https://www.sumologic.com/ja/blog/before-you-replace-your-siem) [AI Instructions](https://www.sumologic.com/ai-instructions.md)