出典: The Hacker News – https://thehackernews.com/2025/10/experts-reports-sharp-increase-in.html
原題: Experts Reports Sharp Increase in Automated Botnet Attacks Targeting PHP Servers and IoT Devices
ボットネットによるPHPサーバーおよびIoT機器への自動攻撃が急増中
近年、ミライ（Mirai）やガフギット（Gafgyt）、モジ（Mozi）など複数のボットネットがPHPサーバーやIoTデバイス、クラウドゲートウェイを標的とした自動攻撃を急増させています。これらの攻撃は既知の脆弱性や設定ミスを悪用し、ボットネットの規模拡大を狙っています。
主要なポイント
- PHPサーバーが主な標的に：WordPressやCraft CMSなどの普及により、PHP環境は設定ミスや更新遅延が多発し、攻撃対象が拡大しています。
- 代表的な脆弱性の悪用：PHPUnit（CVE-2017-9841）、Laravel（CVE-2021-3129）、ThinkPHP（CVE-2022-47945）などのリモートコード実行脆弱性が狙われています。
- Xdebugデバッグ機能の悪用：本番環境で誤って有効なXdebugを攻撃者が利用し、アプリケーションの挙動解析や機密情報抽出が可能となっています。
- IoT機器の脆弱性も標的に：Spring Cloud Gateway（CVE-2022-22947）や特定DVR機器のコマンドインジェクション脆弱性（CVE-2024-3721）などが悪用されています。
- クラウドインフラの悪用：AWSやGoogle Cloudなどの正規クラウドサービスから攻撃が発信され、攻撃者の特定が困難になっています。
技術的な詳細や背景情報
ボットネットとは、マルウェアに感染した多数のコンピューターやIoT機器が遠隔操作されるネットワークのことです。今回の攻撃では、既知のCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）を悪用し、リモートコード実行（RCE）を可能にする脆弱性を狙っています。RCEは攻撃者が遠隔から任意のコードを実行できる深刻な脆弱性です。
また、XdebugはPHPのデバッグツールであり、開発時に便利ですが、本番環境で有効なままだと攻撃者にデバッグセッションを開始され、内部情報が漏洩するリスクがあります。攻撃者はHTTPリクエストの特定パラメータ（/?XDEBUG_SESSION_START=phpstorm）を使い、IDEと連携したデバッグを試みます。
さらに、IoT機器の脆弱性も積極的に悪用されており、特に家庭用ルーターやCCTV、DVR機器がボットネットの主要構成要素となっています。これらはDDoS攻撃だけでなく、認証情報詰め込み攻撃やAIを使ったウェブスクレイピング、スパム送信、フィッシングなど多様な不正活動に利用されます。
影響や重要性
ボットネットの拡大は、単なるDDoS攻撃の増加に留まらず、認証情報の窃取や不正アクセスの温床となります。BeyondTrustのジェームズ・モード氏は、ボットネットが地理的制限や異常ログイン検知を回避するための手段としても利用されていることを指摘しています。つまり、攻撃者はボットネットを使ってより巧妙かつ大規模なサイバー攻撃を実行可能になっているのです。
また、クラウドサービスを悪用した攻撃は、正規のインフラを通じて行われるため、検知や防御が難しくなっています。これにより、企業や個人のシステム管理者は、より高度なセキュリティ対策と監視が求められています。
まとめ
PHPサーバーやIoT機器を狙ったボットネットによる自動攻撃は、既知の脆弱性や設定ミスを悪用し急増しています。攻撃者はクラウドインフラを悪用し、Xdebugの誤設定やIoT機器の脆弱性を突いてボットネットを拡大させています。これにより、DDoS攻撃だけでなく認証情報詰め込みやフィッシングなど多様な脅威が増大しています。
対策としては、システムやデバイスの最新化、不要な開発・デバッグツールの削除、機密情報の安全な管理（例：AWS Secrets ManagerやHashiCorp Vaultの利用）、クラウド環境のアクセス制限が重要です。ボットネットの脅威は今後も進化が予想されるため、継続的な監視と対策強化が求められます。
