F5 BIG-IPを狙う「PoisonedRefresh」、メモリ上にPHP Webシェルを展開して検知を回避

F5 BIG-IP APMを狙う「PoisonedRefresh」、メモリ上にPHP Webシェルを展開

2026年9月、F5 BIG-IPサーバーを標的とするバックドア「PoisonedRefresh」が確認された。攻撃では、F5 BIG-IP Access Policy Manager（APM）の脆弱性「CVE-2025-53521」を悪用し、認証なしでリモートコードを実行してバックドアを展開する。Sophos X-Opsなどの分析によると、PoisonedRefreshはメモリ上にPHP Webシェルを組み込み、ディスク上のファイルを中心とした従来の検知を回避する仕組みを備えている。

PoisonedRefreshは、ApacheのPHPモジュール「libphp」の動作を操作し、特定のPHPスクリプトが実行される際にメモリ上で悪意のあるペイロードを組み込む。これにより、ディスク上のPHPファイルは正規の状態を維持したまま、Apacheプロセスではメモリ上で改変されたコードが実行される。

攻撃ではApache Portable Runtime（APR）の機能をフックし、Apacheがlibphpを読み込む処理に介入する。その後、PHPモジュールの処理やメモリ保護属性を操作して悪意のあるコードを注入し、実行フローを書き換えた後に元の状態へ戻す。こうした処理は、攻撃対象となるPHPファイルが呼び出された際にメモリ上で行われるため、ディスク上に明確な改ざんの痕跡を残しにくい。

また、PoisonedRefreshはUNIXドメインソケットを利用し、新たなTCPリスニングポートを開くことなくローカルシェルへのアクセス経路を確保する。攻撃者は所定の認証を経てシェルへアクセスできるため、一般的なTCPポートの監視だけではバックドアの活動を検知しにくい仕組みとなっている。

F5が修正版を提供、メモリやプロセスの監視が重要に

F5はCVE-2025-53521に対応するため、影響を受けるBIG-IP APMの各バージョン向けに修正版を提供している。対象となる環境では、F5が公開しているガイダンスに従って修正版を適用するとともに、ApacheやBIG-IP APM上で不審な動作が発生していないか確認することが対策となる。

PoisonedRefreshはディスク上のファイルを直接改ざんせず、実行中のプロセスのメモリを操作するため、ファイルベースの検査だけでは検知が難しい場合がある。Apacheワーカープロセスにおける不審なメモリ変更や通常とは異なるHTTP通信、PHPモジュールの挙動などを確認し、メモリやプロセスレベルの監視を組み合わせることが有効となる。