PHPの重大な脆弱性を悪用する動きが活発化 日本企業への初期アクセス狙いか：Cybersecurity Dive

PHPの重大な脆弱性「CVE-2024-4577」が複数の国で大規模に悪用されていることが分かった。Cisco Talosによると、その中には日本も含まれており、国内企業の初期アクセスを得るためにこれを悪用する動きがあるという。

[Rob Wright，Cybersecurity Dive]

　GreyNoiseは、2025年3月7日（現地時間、以下同）のブログ投稿で「重大な脆弱（ぜいじゃく）性『CVE-2024-4577』が米国および英国などの複数の国で広範囲にわたって悪用されている。同脆弱性は『Windows』のシステムにおけるPHPのインストールに影響を与えるもので、アプリケーションが想定していない引数やコマンドを攻撃者が注入できるものだ」と述べた（注1）（注2）。

　スキャンおよび解析サービスを提供するCensysの報告書によると、PHPに関連するこの脆弱性は2024年6月に初めて公表され、その直後にランサムウェア「TellYourPass」を含むさまざまな攻撃者やマルウェアキャンペーンからの攻撃にさらされた（注3）。

PHPに見つかった脆弱性　予想を上回る規模で攻撃者が悪用か

　Ciscoのセキュリティチーム「Cisco Talos」は2025年3月3日の週にCVE-2024-4577に関連するものとして、未知の攻撃者によって実行された日本の標的に対する最近の攻撃を報告した。一方、GreyNoiseは「同脆弱性が複数の国で大規模に悪用されている」と述べた（注4）。

　CVE-2024-4577が悪用されることで、Windowsデバイスの全てのバージョンにおけるPHPのインストールに影響があり、対象のシステムでリモートコードが実行される恐れがある。この脆弱性に関連して実行された最近の攻撃は当初、日本に限定されているように見えたが、GreyNoiseによると、そうではないようだ。

　GreyNoiseはブログの投稿で次のように述べている。

　「当社のデータによると、CVE-2024-4577の悪用の規模は当初の報告をはるかに超えるものだ。複数の地域で攻撃の試みが観測されており、2025年1月には米国およびシンガポール、日本、その他の国々で明らかな急増が見られた」

　GreyNoiseのグローバルハニーポットネットワークからのテレメトリーデータによると、最近の立て続けの悪用活動は2024年11月に始まったという。同社は「Cybersecurity Dive」に提供した声明の中で「2024年11〜12月にかけて、私たちは米国やドイツ、日本、シンガポール、インドネシアで最も多くのトラフィックを観測した」と語った。

　GreyNoiseの報告書によると、スペインや英国、インド、台湾、マレーシアを含む国々で2025年1〜2月に悪用活動の明らかな急増が見られたという。同社は「同年1月だけで1089個のユニークなIPアドレスからの悪用の試みを観測し、過去30日間に攻撃を実行したIPアドレスの40％以上がドイツと中国を拠点としている」と述べた。

　大規模な悪用が単一のソースから実行されているかどうかは不明だ。GreyNoiseは「当社は2025年2月に、複数の国のネットワークに対する悪用の試みが急増したことを確認した。これは何かしらの思惑に基づくものと見られ、脆弱な対象への自動スキャンが増加していることを示唆している」とコメントした。

　Cisco Talosの研究者たちは、通信および技術、教育など幾つかの業界でビジネスを営む日本の組織に対する初期アクセスを獲得するために、未知の攻撃者が同脆弱性を悪用しているのを観察した。攻撃は2025年1月に始まり、「TaoWu」と呼ばれる「Cobalt Strike」のキットのプラグインを使用しており（注5）、これは悪用後の活動に使われる。

　Cisco Talosのチェタン・ラグプラサド氏はブログに次のように書いている。

　「私たちは、攻撃者が被害者のデバイスの認証情報を盗もうとしていることに気が付いた。しかし、私たちは攻撃者の動機が単なる認証情報の収集を越えていると、ある程度の確信を持って評価している。これは永続性の確立やシステムレベルの権限への昇格、敵対的なフレームワークへのアクセスの可能性など、他の悪用後の活動を観察した結果だ。これらは将来の攻撃の可能性を示している」

（注1）CVE-2024-4577 Detail（NIST）
（注2）GreyNoise Detects Mass Exploitation of Critical PHP-CGI Vulnerability (CVE-2024-4577), Signaling Broad Campaign（GREYNOISE）
（注3）Critical PHP CVE is under attack ― research shows it’s easy to exploit（Cybersecurity Dive）
（注4）Unmasking the new persistent attacks on Japan（Cisco Talos Blog）
（注5）Cobalt Strike takedown effort cuts cracked versions by 80%（Cybersecurity Dive）

原文へのリンク