PHP2Shell の対応についてのメモ at SE の雑記

10月末に発生した、PHP2Shell による PHP のサイトの攻撃ですが、現時点でも攻撃が続いているようです。
ご対応されている方、本当にお疲れ様です。

私の場合、Azure 環境での対応を考えることになるのですが、どのような対応が必要となるかについてメモを。

Microsoft からの公開情報

Microsoft からの公開情報としては次の内容があります。

Application Gateway / Front Door のマネージドルールとしては、MS-ThreatIntel-Response として提供されるようです。

マネージドルールの提供前 / マネージドルールがサポートされない Front Door の Standard SKU では、上述のドキュメントに記載されているカスタムルールでの実装が必要となります。

また、攻撃が発生していることを検知するため、カスタムルールの設定だけでなく、アラートルールも合わせて設定し、追加したルールが発火した場合は通知を行うようにすることも検討しておいたほうが良いかと。

PHP を使用しているサイトで WodPress が実行されている場合、WordPress の脆弱性に対しての攻撃も同時に実行されているようです。

直近では PHP2Shell と合わせ CVE-2026-87902 の攻撃の発生が確認できています。

CVE-2026-87902 については、WordPress 7.1.2 ならびにバックポートされたバージョンで 2026/9/22 に対応が行われていますので、PHP だけでなく WordPress のバージョンについても再度確認をしておくとよいのではないでしょうか。

攻撃されたかどうかの一次情報のチェックですが、取得されているログの確認から始めることになりますが、Azure で構築している場合は、次のようなスキル / MCP が活用できます。

これらの機能を使用することで生成 AI との対話で状況を確認することができますので、攻撃に対しての一次情報を迅速に取得することができます。

また、今回提供されたようなカスタムルールの追加や追加したルールに対してのアラートについても参考となる情報を読み込ませることで、追加するための設定を生成することができますので、ログの検索だけでなく対応にも活用できます。