show

security

[piyokango @piyokango]

修正予告されたPHPの2件の深刻な脆弱性についてまとめてみた - piyolog https://t.co/1IXbPQLpuK

[connect24h @connect24h]

リョウタロウさんのPHP2Shellの着弾確認ガイド、error.logで「Unknown on line 0」まで拾っているのが、アプリより前の起動段階で落ちるこの脆弱性の性質に合っていて、ありがたい整理です。ありがとうございます。

手元で式を試したので、補足です。

・access.logの式は /api/ などの候補が「/」始まりのため、POST //api/ にしか一致しませんでした。先頭の / を外すと拾えます
・6桁以上の数字は標準形式だと応答サイズです。リクエストサイズは %I や $request_length を足さないと残りません
・発火がアプリより前なので、パスで絞らず、5xxを返したPOSTをIPごとに数える方が漏れにくいと思います
・暫定策で memory_limit=-1 にした環境では、Out of memory も検索語になります

ここで見えるのは試行までなので、apache2やphp-fpmからのシェル起動、Webルートに増えた .php も合わせて見たいところです。

ディストリ版は版数据え置きで修正が入るので、確認はchangelogで。設定とモニタリングの強化、同感です。

補足で使った式です（combined形式のaccess.logを想定）。

zcat -f access.log* | awk '$6=="\"POST" && $9 ~ /^5/ {print $1}' | sort | uniq -c | sort -rn | head -20

error.log側は元の式に Out of memory を足すだけで、memory_limit=-1 の環境もカバーできます。

[moto_sato @58_158_177_102]

今回のphpの脆弱性対応で、多くの組織が実践を経験したわけで、実効したかの確認ポイントを検証できるチャンスだと思う

ざっと思いついたのは以下

1. いつこの脆弱性開示予告を知ったか？ソースは？
2. この開示予測が正確だといつ判断したか。そのソースは？
3. phpを使っている外接システムの情報取得依頼をいつだしたか？(利用システム・バージョン)
4. そのリストはいつ揃ったか？
5. そのリストは正確だったか？
6. phpのバージョンはサポート範囲だったか？
7. OSのバージョンはサポート範囲だったか？
8. WAF配下の環境か把握できたか？

9. 指揮組織は対応方針をいつだしたか？
(停止、監視、アップデート、静的コンテンツへの切り替え等)
10. 初期情報をいつ経営層に共有し、方針承認を得たか？

11. グループ会社等がある場合は対応方針を指示したか？
12. いつグループ向け対応方針を出したか？

13. パッチ適用を選択した場合、すぐに準備にとりかかれたか(人員の確保。OSやphpの事前アップデート。バックアップ等)
14. 停止を選択した場合、アナウンスにいつからとりかかりいつ出せたか？発出までのプロセスはスムーズだったか？
15. リソース監視やアクセスログ確認・エラーログ確認など異常監視は、脆弱性攻撃検知に対応できていたか？
16. PoCの公開など攻撃激化の予兆を監視できていたか？

17. 詳細情報とパッチ情報をいつ把握したか？
18. 詳細を得て影響を再確認をして、方針の上書き(適正化)をしたか？
19.作業中の想定外に対して適正に判断変更したか？(できる体制があったか？)

20. 経営層に最終報まで、どのような報告をいれたか？(内容とタイミングは需要を満たしていたか)

21. 全プロセスで改善すべき点を確認し、是正を行ったか？

[NICTER 解析チーム @nicter_jp]

【注意喚起】PHPの脆弱性CVE-2026-109618の探索を意図したとみられる通信を、修正パッチ公開前の10月21日17時台（日本時間）から観測しています。今後の増加も懸念されます。PHPをご利用の場合は、CVE-2026-109619と併せて影響を確認し、速やかに修正版へ更新してください。

[JPCERTコーディネーションセンター @jpcert]

PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起を公開。PHPを利用するシステムでは、速やかな更新と侵害有無の調査を検討ください。PHPを組み込んだ製品やOSにも影響するため、各提供元などからの情報も継続的に確認してください。^KK https://t.co/W9Vx76DqjE

[平将明（たいらまさあき/Taira Masaaki） @TAIRAMASAAKI]

自民党国家サイバーセキュリティ戦略本部（本部長：平将明）は政策提言「サイバーセキュリティ対策の抜本的強化に関する提言〜サイバー有事前夜／AIのサイバー飽和攻撃に備えよ！〜」を取りまとめました。

全文を掲載しています。

https://t.co/yNnYDotnyg

[The Hacker News @TheHackersNews]

‼️ ALERT - Someone tried to exploit #PHP2Shell 4 days before the vulnerabilities were publicly disclosed.

Amazon caught the October 17 attempt. More exploit attempts followed the patch release.

Who had the exploit details early, and how?

Full story ↓ https://t.co/1C4q1ObBnr

[Seongsu Park @unpacker]

Thrilled to share my latest research on AI-assisted cyberattacks and the ARTEX hacking framework!

What initially appeared to be AI-assisted attacks targeting South Korean banks turned out to be part of a much broader operation spanning multiple countries and industries.

My investigation revealed a financially motivated campaign leveraging ARTEX to pursue various monetization opportunities, including stealing customer data, reverse-engineering Android applications to identify vulnerabilities, and even attempting to acquire free NFT tokens.

AI is accelerating the speed and scale of cyberattacks, even when attackers rely on known vulnerabilities, enabling broader targeting and faster exploitation.

A closer look at the attacker's infrastructure, AI-assisted operations, and financial motives:
https://t.co/1HKtME3890

[Yu Arai / 新井 悠 @yarai1978]

AIを複数組み合わせた大規模サイバー攻撃の実態に関するZscalerの分析
・DeepSeek、GLM、Grokなどを役割分担させ、AI同士で調査結果を査読し、攻撃の抜け漏れを確認
・日本を含む世界19の国・地域で金融、暗号資産など幅広い業種を攻撃。金銭目的か
https://t.co/KoMGeRFBJo

[ぴんく @PINKSAWTOOTH]

MSからもARTEXの話出てた

https://t.co/1ZVDuxHXpN

[ラック公式 @lac_security]

【LAC WATCH】リスクベースで見極める脆弱性対応の優先順位～フロンティアAI時代の脆弱性管理（3）
https://t.co/rVpFQXKeEl

次々と見つかる脆弱性。
「どれから対応すべきか」「どこまで急ぐべきか」、判断に迷っていませんか？

フロンティアAIによって脆弱性発見能力の向上が議論される中、限られたリソースを影響の大きい脆弱性へ集中させるには、深刻度だけに頼らない「リスクベース」の評価がより重要になります。

そこで重要になるのが、実際の悪用可能性やシステムの状況、ビジネスへの影響まで踏まえた優先順位付けです。

本記事で学べるポイント💡
✅ リスクベース評価で考慮したい4つの要素
✅ BOD 26-04、SSVCから学ぶ優先順位付け
✅ 評価から対応期限決定までの具体的な流れ

BOD 26-04やSSVCも参考に、フロンティアAI時代を見据えた脆弱性管理の考え方を紹介します📢
組織のセキュリティ推進部門や、脆弱性対応をより迅速かつ効率的に運用したい方は、ぜひご覧ください🌟

#サイバーセキュリティ #脆弱性管理

[Kanatoko @kinyuka]

めちゃ的確にポイントを抑えた検証記事

『PHP2Shell が検査するのはボディの先頭 8 KB まで』

これだとたぶん防御にならないです…

https://t.co/UgduXNM9MZ

[Tsubasa @Sz4rny]

PHPの重大な脆弱性「php2shell」（CVE-2026-109618、CVE-2026-109619）の概要と対応指針 - GMO Flatt Security Blog https://t.co/Cq9NDLzJ1l

[Digitalearn @DIGITALEARN_1]

Cybersecurity Incident Response Playbook

Download here: https://t.co/0CmRGQdeOe

A practical guide to detecting, analyzing, containing, and recovering from cybersecurity incidents.

[t-Kimura @t__kimura]

やはり韓国の銀行と同じパターンですね。
日経は「人工知能ソフト」と表現しているが、誤解を招くは表現です。

ARTEXは「オーケストレーションツール」です。

ARTEXがばら撒かれた以上、オーケストレーションの中央にオープンウェイトを置き、あとは最強のフロンティアモデルを複数並べれば完成する。

誰にでもできることが問題で、テロリストや政治ハッカーのみならず、世界中の「無敵の人」たちが悪戯で様々なサービスを停止できる。

フロンティアモデルがオーケストレーションツール検知機能を付けたところで、いくらでも回避策は出てくるため、デスマーチは必至です。

今あるサイバーセキュリティ対策など、火事場にスプーンで水をかけるようなものり

以前に公開した構図を再掲。

[日本経済新聞 電子版（日経電子版） @nikkei]

GMO系「国内不正アクセス、中国製AIソフトの使用確認」
https://t.co/DT3BheLgSl

国内への不正アクセス事案について、中国のエンジニアが開発した人工知能（AI）ソフト「ARTEX」が使われていたことを確認したと同社のブログで発表しました。

[三輪信雄 @NobMiwa]

ARTEXばかりが騒がれていますが、悪用されたAIエージェントは他にもあります

[piyokango @piyokango]

AIペネトレーションテスト基盤「Cairn」の公開パネルから見えた攻撃活動についてまとめてみた - piyolog https://t.co/aA56Dck34D

[三輪信雄 @NobMiwa]

AI攻撃ツールとして有名になったARTEXが、3次フォークRubat-Bで凶悪化しました。公開サーバから内部ネットワークに「多層ネットワークの段階突破」してADまで陥落させる機能が追加されました。公開サーバ,DMZ,内部ネットワークの構成はレガシーですが、今でもこの構成の組織は多いのでは？

[にゃん☆たく/takumi.a @taku888infinity]

これは必ずあとで絶対読む。

ランサムウェア被害から学ぶ教訓集
https://t.co/kgCNYI65Fw

ランサムウェア被害から学ぶ教訓集 ～ 経営者のためのランサムウェア対策ハンドブック ～
https://t.co/fvywZ11sRx