出典: The Hacker News – https://thehackernews.com/2025/10/experts-reports-sharp-increase-in.html
原題: Experts Reports Sharp Increase in Automated Botnet Attacks Targeting PHP Servers and IoT Devices
PHPサーバーおよびIoT機器を狙ったボットネット攻撃の急増について
近年、PHPサーバーやIoT機器を標的としたボットネット攻撃が急激に増加しています。サイバーセキュリティ研究者は、既知の脆弱性や設定ミスを悪用し、攻撃者がボットネットの規模を拡大している現状に警鐘を鳴らしています。
主要なポイント
- 複数のボットネットによる自動化攻撃の増加：ミライ（Mirai）、ガフギット（Gafgyt）、モジ（Mozi）などのボットネットがPHPサーバーやIoT機器、クラウドゲートウェイを狙い、攻撃活動を活発化させています。
- PHPサーバーの脆弱性と設定ミスの多さ：WordPressやCraft CMSなどの普及により、PHP環境は攻撃対象として特に顕著です。プラグインの更新遅れや不適切なファイル保存などが攻撃の足掛かりとなっています。
- 悪用されている主な脆弱性：PHPUnit、Laravel、ThinkPHPなどのフレームワークに存在するリモートコード実行の脆弱性（CVE-2017-9841、CVE-2021-3129、CVE-2022-47945）が狙われています。
- クラウドインフラの悪用：AWSやGoogle Cloud、Microsoft Azureなどの正規クラウドサービスを経由して攻撃が行われ、攻撃元の特定が困難になっています。
- ボットネットの新たな役割と機能：大規模なDDoS攻撃だけでなく、認証情報詰め込み攻撃やAI駆動のウェブスクレイピング、スパム送信、フィッシングなど多様な不正活動に利用されています。
技術的な詳細や背景情報
ボットネットとは、多数の感染デバイスを遠隔操作して悪意ある活動を行うネットワークのことです。今回注目されているボットネットは、PHPサーバーやIoT機器の脆弱性を突いて感染を広げています。具体的には、PHPの主要フレームワークに存在するリモートコード実行（RCE）脆弱性を悪用し、攻撃者が任意のコードを実行可能にしています。
また、開発用のデバッグツールであるXdebugが本番環境で有効なまま放置されているケースも狙われており、HTTPのGETリクエストに特定のクエリ文字列を含めることでデバッグセッションを開始し、アプリケーションの挙動解析や機密情報の抽出が試みられています。
さらに、IoT機器の既知の脆弱性（例：Spring Cloud GatewayのCVE-2022-22947やTBK DVRのコマンドインジェクション脆弱性）も悪用され、これらの機器がボットネットの一部として組み込まれています。これにより、攻撃者は大規模なネットワークを形成し、多様な攻撃を実行可能にしています。
影響や重要性
これらの攻撃は単なるDDoS攻撃に留まらず、認証情報の窃取や不正アクセス、フィッシング詐欺など多岐にわたる被害をもたらします。特に、ボットネットを利用した認証情報詰め込み攻撃（クレデンシャルスタッフィング）やパスワードスプレー攻撃は、企業や個人のアカウント乗っ取りリスクを高めています。
また、ボットネットが住宅用プロキシサービスを提供することで、攻撃者は匿名性を確保しつつ、通常のネットワーク活動に紛れ込んだ攻撃を行うことが可能となっています。これにより、攻撃の検知や防御が一層困難になっています。
まとめ
PHPサーバーやIoT機器を狙ったボットネット攻撃は、既知の脆弱性や設定ミスを巧みに悪用し、攻撃者のネットワーク拡大と多様な不正活動を可能にしています。クラウドインフラの悪用や住宅用プロキシ化など、攻撃手法も高度化しているため、システム管理者やユーザーは以下の対策を徹底することが重要です。
- デバイスやソフトウェアを常に最新の状態に保つこと
- 本番環境から開発・デバッグツールを削除すること
- 機密情報はAWS Secrets ManagerやHashiCorp Vaultなど安全な管理ツールで保護すること
- クラウドインフラの公開アクセスを適切に制限すること
これらの対策を講じることで、攻撃リスクを大幅に低減し、安全なIT環境の維持につなげることができます。
