PHPの緊急脆弱性「php2shell」で攻撃されていないか？サーバーに残る3つの痕跡と確認方法 - インフラ学習サイト「InfraAcademy」

こんにちは、インフラエンジニアのryuです。 前回の記事「PHPの緊急脆弱性「php2shell」とは？」では、2026年10月21日に公開されたPHPの脆弱性の仕組みと、アップデートの進め方を解説しました。 今回はその続きです。 アップデートを終えたあとに、多くの人が気になるのが「すでに攻撃されていないか？」という点だと思います。 実際に、Datadog Security Labsの解説記事によると、10月21日の時点で悪用の報告が複数あり、公開の4日前にあたる10月17日には攻撃の試みが観測されていたとされています。 つまり、修正版を入れた日より前に、攻撃を受けていた可能性があるということです。 PHPをアップデートしても、すでに置かれた不正なファイルや、起動された不正なプログラムは消えません。この記事では、サーバーに残る痕跡をどこで、どう確認するかを整理します。 調べる期間を決めてお

[hanajibuu]

ありがたいまとめ。aiに渡して解析してもらおう。

[circled]

ほとんどのサイト、アップデート適用までサービス止めてたから、普通はログに残ってないと思うのよね

[akghuaiooajt]

つかさ、リモートコードならログを消すことからやるわ。バレないように

[m4fg]

ログファイル一式フォルダに入れて、claude -p “攻撃されてないか怪しいところ調べて”、これであとは待つだけやで

[netafull]

“PHPをアップデートしても、すでに置かれた不正なファイルや、起動された不正なプログラムは消えません。この記事では、サーバーに残る痕跡をどこで、どう確認するかを整理します。”

[richmikan]

SELinuxが有効だったらそっちにも何か面白いログが残っているかも。

[FreeCatWork]

サーバーが狙われるなんて怖いにゃ！ボクのしっぽで悪いやつをパンチするにゃ！

[mirroroflife]

あとで確認

[kimioki]

チェックは、POST以外にもPUT,PATCHもしたほうがいいんじゃね？/攻撃方法はPOSTだけじゃないし

[nguyen-oi]

具体的な調査手順がまとまっていて現場には助かる内容