深刻度スコア9.2のPHPのセキュリティ上の欠陥を受け、ブロックチェーンセキュリティ企業のSlowMistは、暗号資産取引所、分散型金融（DeFi）プラットフォーム、ウォレットプロバイダーに対し、インフラを点検して緊急アップデートを適用するよう促しました。PHP開発チームは2026年10月21日、認証されていない攻撃者が影響を受けるサーバー上でリモートからコードを実行できる可能性のある2件の脆弱性に対するパッチを公開しました。
主なポイント
- PHPは2件の脆弱性に対処するため、修正済みバージョンを4種類公開しました。各脆弱性のCVSSバージョン4.0による評価は9.2です。
- SlowMistは暗号資産関連企業に対し、ウェブサイト、インターフェース、関連インフラ全体でPHPの影響範囲を調査するよう促しました。
- 攻撃が実証されていることは、大手暗号資産取引所やDeFiプロトコルで広範な侵害や損失が発生したことを示すものではありません。
目次
PHPのセキュリティ上の欠陥で、外部に公開されたサーバーに焦点
暗号資産関連企業が直ちに懸念すべきなのは、一般的なウェブインフラです。プラットフォームの構成によっては、PHPバックエンドが侵害されると、顧客情報、管理インターフェース、認証システム、運用上の認証情報が流出するおそれがあります。
SlowMistは、取引所、DeFiプロジェクト、ウォレットプロバイダーに対し、影響を受ける導入環境を特定し、公式パッチを適用するよう促しました。同社は脆弱性の公表後、MistEye監視システムを使い、暗号資産関連インフラにおけるPHP関連の影響範囲を調査したと報じられています。
リスクがあるからといって、PHPサーバーの侵害によって攻撃者が自動的に秘密鍵、スマートコントラクト、顧客資産にアクセスできるわけではありません。影響は、機密性の高いシステムとの接続状況や、攻撃者が取得できる権限によって異なります。
緊急アップデートはPHPの4つのリリースを対象
2件の脆弱性、CVE-2026-109618およびCVE-2026-109619は、それぞれ共通脆弱性評価システム（CVSS）バージョン4.0で深刻度スコア9.2を受けました。PHP開発チームは、バージョン8.5.12、8.4.27、8.3.36、8.2.35でこれらに対処しました。サポート対象外のリリースを含む旧バージョンも脆弱である可能性があり、サポートが継続されているソフトウェアへの移行が必要です。
CVE-2026-109618は、リクエストのクリーンアップ中のメモリ不足処理に関連したメモリ破損を伴います。CVE-2026-109619は、グローバル状態が以前のリクエストで使用されたメモリへの参照を保持する問題で、そのメモリが再利用された際に悪用される可能性があります。どちらも、脆弱性の影響を受ける構成ではリモートコード実行を許すおそれがあります。
PHPプロジェクトは、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedを使うインターネット公開環境が影響を受ける可能性があると指摘しました。Apache mod_phpは、アプリケーションレベルのコードがリクエストの処理を開始する前にコードを実行できる攻撃を研究者が実証したことから、特に懸念されています。
今回の緊急アップデートに先立ち、事前警告が出され、予定されていた公表より前に技術的な詳細が出回ったとの報告もありました。PHPのセキュリティチームは、代替策では完全な保護を実現できない可能性があると警告し、直ちにアップデートするよう呼びかけました。
各国の警告は、影響を受ける可能性と確認済み損失を区別
ENISA、CERT-EU、欧州刑事警察機構（Europol）の欧州サイバー犯罪センターは共同で、組織に対し、影響を受けるシステムを特定してアップデートを適用するよう勧告しました。英国の国家サイバーセキュリティセンターは、外部に公開されたシステムを優先し、直ちに修正できない場合は一時的な停止を検討するよう推奨しました。
オーストラリアとカナダのサイバーセキュリティ当局も警告を発しました。研究者は攻撃を再現しており、エクスプロイトに関する情報も公に出回っていますが、入手可能な証拠からは、これらの脆弱性に直接起因する大手暗号資産取引所やDeFiプロトコルの損失は確認されていません。
影響を受ける事業者が優先すべき対応として挙げられているのは、PHPの導入環境を特定し、サポート対象の修正済みバージョンにアップグレードしたうえで、不正アクセスの痕跡がないかシステムを調査することです。
結論
今回の警告は、外部に公開されたPHPインフラへのパッチ適用と、不正な活動の有無の確認に重点を置いています。暗号資産プラットフォームにとって、悪用可能なウェブサーバーが深刻なリスクとなる一方、それだけでは資産損失が確認されたことを意味しないという区別は重要です。
ニュースをもっと読む
免責事項
この記事はFinanceVelixが一般情報を提供するものであり、個別の金融、投資、法律、税務に関する助言ではありません。市場価格、金利、経済状況は変動する可能性があり、投資には損失のリスクが伴います。記載内容は公開時点で入手可能な情報に基づいており、変更される場合があります。重要な情報はご自身で確認し、必要に応じて資格を有する専門家に相談してください。資産、企業、サービスへの言及は推奨を意味するものではありません。
