PHP2Shell（CVE-2026-109618、CVE-2026-109619）：お客様への影響とTR7 WAF-WAAPによる支援

攻撃リクエストの大半はmultipart/form-data（ファイルアップロード）リクエストです。アプリケーション内でファイルを受け付けるパスが少数に限られる場合は、ロードバランサールールで、それ以外のすべてのパスへのmultipartリクエストをブロックしてください。このルールは2つの条件と1つのBlockアクションで構成されます。すべての画面には、左下のTR7ロゴから開くConfiguration Menuからアクセスできます。

A. 条件を作成する（Load Balancer → Conditions → Add）

1. multipartリクエスト条件：Criteria = HTTP header、マッチング方式Includes、Header Name = Request → Content-Type、Query = multipart/form-data、Case Insensitiveをオン。Condition Nameにmultipart-requestなどの名前を入力し、Addで保存します。
2. アップロードパス条件：Criteria = Path、マッチング方式Regexとし、Queryにファイルを受け付けるパスを入力します（例：^/(upload|media/upload)）。Condition Nameにupload-pathsなどの名前を入力し、Addで保存します。

B. Blockアクションを作成する（Load Balancer → Actions → Add）

3. Action Nameを入力し（例：block-multipart）、Action Type = Block、Execution Level = On Request、Deny Type = Standard、Status Code = 403とします。
4. Conditionsで、multipart-requestと!upload-pathsを同じ条件グループ（デフォルトはand）で選択します。各条件はリストに2回表示されます。条件そのものと、!で始まるその否定（NOT）です。!upload-pathsは「アップロードパスのいずれでもない」ことを意味します。
5. ブロックされたリクエストをカウントするためにHit Counterをオンにし、Addで保存します。

C. アクションをvServiceに追加する

6. Load Balancer → Load Balancer vService ListでvServiceを選択してEditをクリックし、DetailsのActionsでアクションを選択して、Saveをクリックします。

D. 長さを宣言せずに送信されたボディもブロックする

7. 別のHTTP header条件を作成します。マッチング方式Is present、Header Name = Request → Content-Length、Condition Nameは例えばhas-lengthとします。
8. 2つ目のBlockアクション（On Request、Standard、403）を作成します。Conditionsで、定義済みのIf HTTP method is POST条件、!has-length、!upload-pathsを同じ条件グループで選択し、このアクションをvServiceのActionsフィールドに追加します。POST条件は必須です。これがないと、ボディのないGETリクエストもブロックされます。

1.3のサイズ制限では、長さを宣言せずに送信されたボディの実際のサイズを把握できません。このルールは、アップロードパス以外のパスにおいて、HTTP/1.1のストリーミング（chunked）アップロードと、長さが宣言されていないHTTP/2ボディの両方をカバーします。ボディがなくContent-LengthヘッダーもないPOSTリクエストもこのルールに一致するため、まず本番環境以外のvServiceで試してください。

確認：アップロードパス以外のパスに対するmultipartリクエスト（curl -s -o /dev/null -w '%{http_code}\n' -F 'a=b' https://www.example.com/）、HTTP/1.1のchunkedリクエスト（curl -s -o /dev/null -w '%{http_code}\n' --http1.1 -H 'Transfer-Encoding: chunked' -d 'a=b' https://www.example.com/）、および長さを宣言しないHTTP/2リクエスト（printf 'a=b' | curl -s -o /dev/null -w '%{http_code}\n' --http2 -X POST -T - https://www.example.com/）が403を受け取り、アップロードパスへのリクエストが通過することを確認してください。HTTP/1.1のテストには--http1.1が必要です。curlはhttps上ではデフォルトでHTTP/2を使用し、HTTP/2ではTransfer-Encodingを送信しないためです。カウンターはvServiceダッシュボードのAction Hitsタブに表示されます。

注意：条件が1つも選択されていないBlockアクションは、vServiceへのすべてのリクエストに適用されます。アップロードパスを漏れなくすべて列挙し、まず本番環境以外のvServiceでルールを試してください。

このルールは標的型攻撃を阻止するものではありません。エクスプロイトはごく少数のリクエストで成功する可能性があります。ただし、多数の標的を試す自動化ツールのコストを引き上げます。このルールは各クライアントIPのPOSTリクエストをカウントし、しきい値を超えたクライアントのPOSTリクエストを429でブロックします。カウンターがしきい値を下回ると、ブロックは自動的に解除されます。

A. カウンターアクションを作成する（Load Balancer → Actions → Add）

1. Action Nameを入力し、Action Type = Advanced Traffic Inspection、Fields to Track = Client IP address、Traffic Tag = 例えばpost-rate（3～20文字。英字、数字、-、_）、Tracking Period = 1分とします。
2. Conditionsで定義済みのIf HTTP method is POST条件を選択し、Addで保存します。これにより、POSTリクエストのみがカウントされます。

B. しきい値条件を作成する（Load Balancer → Conditions → Add）

3. Criteria = Tracking Condition、Tracked Table = post-rate、Tracking Criteria = HTTP requestsとし、Tracking Operatorでしきい値を指定します（例：> 100）。Addで保存します。

C. Blockアクションを作成する（Load Balancer → Actions → Add）

4. Action Type = Block、Execution Level = On Request、Deny Type = Standard、Status Code = 429とします。
5. Conditionsで、ステップ3のしきい値条件とIf HTTP method is POSTを同じ条件グループ（デフォルトはand）で選択します。POST条件がないと、しきい値を超えたクライアントのGETリクエストもブロックされます。Addで保存します。

D. アクションをvServiceに追加する

6. vServiceのEditフォームのDetails → Actionsで、カウンターアクションを1番目、Blockアクションを2番目に選択し、Saveをクリックします。アクションはリストの順序で実行されます。

確認：vServiceのLogs & Trackingタブで、Logs Typeリストからカウンターアクションのトラッキングテーブルを選択すると、クライアントごとのPOSTカウンターが表示されます。しきい値はアプリケーションの通常のトラフィックに基づいて設定してください。正当なクライアント（例えばAPIを使用するシステムや、共有の送信元IPの背後にある組織）の1分あたりのPOST数をテーブルで観察し、それを上回る値にしきい値を設定します。

ライセンスにBot/DDoS保護が含まれている場合、L7 DDoS ProtectionのSource IP Request Protectionは、単一の送信元アドレスが一定期間内に送信できるリクエストの総数を制限します。2.2とは異なり、すべてのリクエストをカウントし、追加のルールは必要ありません。

1. vServiceのEditフォームで、DetailsのL7 DDoS & Threat Protectionを選択し、Saveをクリックします（オンになっていない場合）。保護をオンにすると、L7 DDoS ProtectionはMonitorモードで開始されます。このモードでは、制限違反はイベントとして記録されるだけです。
2. Left Monitor Panel → Bot/DDoS Protected vServices → vService → Bot/DDoS Managementで、L7 DDoS ProtectionカードのEditリンクをクリックします。
3. DDoS Protection = Activeに設定し、Editボタンで保存します。
4. カード上で、Source IP Request Protectionブロックの鉛筆アイコンをクリックします。Time Window（デフォルト10秒）、Request Limit（デフォルト1000）、Limit Action（デフォルトはShow Captcha。Blockも選択可能）をアプリケーションのトラフィックに合わせて設定し、Editボタンで保存します。

注意：Activeに切り替える前に、Monitorモードでしばらくイベントを監視してください。Request Limitを下げる際にも、同様の観察を繰り返してください。