「PHP」の深刻なRCE脆弱性「PHP2Shell」 - 悪用試行を観測

一方、実際の悪用状況については、セキュリティ企業や政府機関の発表によって違いも見られる。

セキュリティ企業のwatchTowrは2026年10月21日、「CVE-2026-109618」「CVE-2026-109619」の2件について、実際に悪用を試みる活動を確認したことを明らかにした。

同社が世界各地に展開するハニーポットネットワーク「Attacker Eye」を通じて観測。攻撃の具体的な手法や規模、実際の侵害被害など、詳細については明らかにしていない。

Cloudflareも同日、同社顧客を標的とする攻撃通信を観測したと報告。攻撃者が検知状況などを確認しながら攻撃用のデータを変化させ、ウェブアプリケーションファイアウォール（WAF）による防御の回避を試みる動きも確認したという。

ただし、いずれも脆弱性の悪用が成功したかは不明。CERT-EUでは、攻撃は観測されていないものの、詳細な情報が公開され、初期段階の「概念実証（PoC）」が出回りはじめていると指摘。

（Security NEXT - 2026/10/22 ）ツイート