ファイアウォールの管理画面とLinuxカーネルの脆弱性をつなげた攻撃で、25台が狙われ、24台でroot権限が奪われた。標的の絞り込み対象国には日本も入っていた。セキュリティ企業Dreamの調査報告を、SecurityWeekが2026年10月28日に報じたものだ。対象のベンダー名と製品名は公表されていない。本稿の事実関係は、この報道が伝えた範囲に限る。Dream本体のレポートURLは確認できていない。
脆弱性2つの連鎖で24台がroot化された
使われたのは、PHP製の管理画面の脆弱性「PHP2Shell」（CVE-2026-109618、CVE-2026-109619）と、Linuxカーネルの権限昇格バグ「Fragnesia」（CVE-2026-46300）だ。リモートからの命令実行でまず入り、権限昇格でrootを取る。この連鎖により、機器にPHPのrootウェブシェルを置いて永続アクセスを確保した。
攻撃は10月23〜24日、自動化ツールで実行された。攻撃した25台のうち24台にウェブシェルが設置された。そのうち22台では、侵入後の活動は確認されていない。
Dreamは特定の攻撃グループには帰属させていないが、中国関連の作戦の一部とみている。国家主体の可能性も示唆しているが、断定はしていない。根拠の一つは、標的探しに中国のインターネット資産検索エンジンFOFAが使われたことだ。ただ、検索エンジンの利用だけで攻撃者を特定することはできない。
米政府関連の2台では管理サーバーからADまで進んだ
大半は設置で止まったが、残る2台は違った。どちらも米政府関連の環境に属していた。1台目は10月23日の攻撃直後にクラッシュしたが、攻撃者は翌24日に第2波を実行し、成功させている。
攻撃者はリバースSSHトンネルで接続を維持した。続いて、内部のファイアウォール管理サーバーに同じ攻撃連鎖で侵入している。この管理サーバーを通じて、組織が管理する全ファイアウォールの設定と認証情報にアクセスした。
そこを足場に、Active Directory（AD）に対して次の行動をとった。
- LDAPサービスアカウントのパスワードを復号した
- ドメイン内のユーザーとグループを列挙した
- パスワードスプレー攻撃を行った
- ADにバックドアアカウントを作る試みを行った
ADの掌握に成功したとは、報道には書かれていない。それでも、境界機器の侵害が管理サーバー経由でADへ波及した事実は、実務上の要点になる。
日本は標的の絞り込み条件に入っていた
では日本はどうか。攻撃者は、手当たり次第には狙っていない。FOFAで特定ベンダーのインターネット公開ファイアウォール約19,000台を洗い出し、所在地を米国・日本・台湾・韓国に絞った。さらに新しめのPHPリリースを使うものに限り、候補は約240台になった。実際に攻撃されたのは、そのうちの25台だ。
分かっていることは、日本が絞り込みの条件に含まれていたことだ。
分かっていないことは多い。日本の機器が240台の候補にあったのか、実際に攻撃されたのか、被害があったのか。報道は、いずれにも触れていない。パッチの有無や修正バージョン、回避策も同様だ。IOC（侵害指標）についても、報道に記載はない。Dreamの元レポートを確認できていないため、公開の有無は判断できない。「日本が狙われた」とも「無関係」とも、現時点では言えない。
修正版のバージョン（10月21日公開）と、PHPとLinuxの片方を直すだけでは足りない理由は、続報のPHPの脆弱性「PHP2Shell」で日本も標的ににまとめた。
情シスが今確認したいこと
製品名が非公開のため、自社が該当するかは外から判断しにくい。まず確認できるのは次の2点だ。
- 自社のファイアウォールや管理サーバーで、PHP製の管理画面がインターネットに公開されていないか
- 利用中のベンダーが、今回の件に関するセキュリティ情報やパッチを出していないか
以下は報道にない、一般的な対策だ。上記の確認と並行して検討したい。
- 管理画面に見覚えのないPHPファイルがないか調べる
- 外部への不審なSSH接続（リバースSSH）の痕跡を確認する
- LDAPサービスアカウントの認証情報を見直す
出典
- SecurityWeek「China-Linked Hackers Exploit PHP2Shell to Root Firewalls」（2026年10月28日、Dreamの調査報告を参照した報道）: https://www.securityweek.com/china-linked-hackers-exploit-php2shell-to-root-firewalls/
