Chained PHP2ShellおよびFragnesiaエクスプロイトキャンペーンの分析

エグゼクティブサマリー

国家が関与している可能性が高い組織的なサイバーキャンペーンにより、米政府関連環境のシステムを含む25台のサーバーが侵害されました。攻撃者は、カスタムのPHP2ShellエクスプロイトとLinuxカーネルの権限昇格を連鎖させる手法を用いています。攻撃者は自動化された偵察とバージョン固有のエクスプロイトプロファイルを利用し、境界ファイアウォールから内部のIDインフラストラクチャへと侵入しており、高度な運用能力を示しています。

攻撃チェーン：PHP2ShellとFragnesia

攻撃者は、認証不要の単一のHTTPリクエストで標的のファイアウォール上でroot権限を取得できる2段階のエクスプロイトチェーンを開発しました。このチェーンは、メモリ破壊とカーネルレベルの権限昇格を組み合わせることで、標準的なセキュリティ制御を回避します。

PHP2Shell (CVE-2026-109618 / CVE-2026-109619)

このコンポーネントは、PHP 8.0.30の session.upload_progress メカニズムを標的にしています。攻撃は以下の4つのフェーズで実行されます。

メモリ枯渇: 大規模なマルチパートPOSTリクエストでサーバーをフラッディングし、予測可能なメモリレイアウトを強制します。
情報漏洩: 境界外読み取りをトリガーし、 libphp.so のベースアドレスを漏洩させます。
古い参照のセットアップ: メモリ内に偽造された zend_reference を作成します。
コード実行: PHPのHashTableエントリを偽造して zif_system を指すようにし、 nobody ユーザーとして任意のコマンドを実行します。

Fragnesia (CVE-2026-46300)

初期のコード実行はSELinuxによって制限されるため、攻撃者はLinuxカーネルのXFRM ESP-in-TCPサブシステムを標的とする2つ目のエクスプロイトを連鎖させました。これにより、攻撃者は /etc/pam.d/su を pam_permit.so で上書きし、 su root を介したパスワードなしのrootアクセスを可能にします。

運用手法

攻撃者は、広範な発見から高価値なエクスプロイトへと移行する、構造化された自動化されたファネルを採用しました。

標的選定: 攻撃者はFOFA検索エンジンを使用して、インターネットに公開されている19,000台のファイアウォールを特定しました。そこから、米国、日本、台湾、韓国にある240台の高価値な標的に絞り込みました。
バージョンプロファイリング: 攻撃者は11種類のJSONベースのバージョンプロファイルを維持していました。これらのプロファイルには、異なるファイアウォールOSバージョンに対する正確なメモリオフセットとジオメトリパラメータが含まれており、自動化された信頼性の高いエクスプロイトを可能にしました。
永続化とピボット: ファイアウォールのroot権限を取得すると、攻撃者は永続的なリバースSSHトンネルを確立しました。これにより内部管理サーバーへのアクセスが提供され、その後、資格情報の抽出やユーザー列挙を含むActive Directoryへの攻撃を開始するために使用されました。

AI支援による開発

この作戦が完全に自律的であるようには見えませんが、エクスプロイトインフラの開発においてAIが大きく関与していることを示す証拠があります。回収されたアーティファクトには、DeepSeekやKimi LLMを使用した aiscan プラットフォームの設定や、Claude Codeの存在が含まれています。約40種類のカスタム事後エクスプロイトスクリプト全体に見られる一貫性は、AIがコードの構造化と生成を支援した可能性が高いことを示唆しています。

コミュニティの洞察と議論

セキュリティコミュニティ内での議論では、この侵害の性質に関して以下の重要な点が指摘されています。

露出リスク: コメンテーターは、ファイアウォールのような重要インフラの管理インターフェースは決してパブリックインターネットに公開すべきではなく、分離された管理用VLANに配置すべきであると強調しました。
ベンダーの推測: 研究者はベンダーを公表していませんが、コミュニティメンバーは、設定の詳細やSELinuxの挙動がPalo Alto NetworksやFortinetなどの主要なファイアウォールプロバイダーと一致していると推測しています。
エクスプロイトの複雑さ: 一部のオブザーバーは、初期のRCEを達成するために使用されたメモリ枯渇技術が驚くほど手動的であると指摘しており、攻撃者は十分な資金を持っているものの、エクスプロイト開発プロセスをまだ洗練させている段階であることを示唆しています。
帰属: 中国語のLLMの使用、中国のインターネットインフラ（FOFA）、UTC+8のタイムスタンプなどの指標は、中国に関連する作戦であることを強く示唆していますが、研究者はこの攻撃を特定の国家主体に正式に帰属させてはいません。