CZが突然警告：今後数日、むやみにサイトを開かないで。PHPの脆弱性をめぐる空白期間に、ハッカーはすでに動き出している⚠️

まずは3つのデータを見てほしい。CVE-2026-109618、CVE-2026-109619はCVSS 9.2で、ログイン不要のリモートコード実行が可能だ。汚染されたページを開くだけで、アカウントのパスワードやAPI Keyを盗まれるおそれがある。パッチが公開されたのは10月21日だが、脆弱性の詳細が漏れてから悪用が確認されるまでの空白期間、世界中のウェブサイトが無防備な状態に置かれていた。慢霧のMistEyeが暗号資産業界をスキャンしたところ、1488個のドメインのうち793個でPHPの指紋が直接確認され、半数を超えた。

詳しく見ると、暗号資産業界がインターネットより危険な理由が分かる。PHPは世界中のCMSや加盟店向け決済システムを支える古参の基盤で、多くの取引所の法定通貨入出金経路や小規模な決済ゲートウェイもその上で稼働している。脆弱性が発覚して真っ先に被害を受けるのは、オンチェーンの価格ではなく、こうしたサイトで使われているユーザーの認証情報だ。パスワードリスト攻撃やフィッシングに、認証不要のRCEが組み合わされれば、盗まれるのは相場情報ではなく署名権限だ。CoinbaseとBitGoは自社点検を済ませ、問題がないと確認したが、すべての企業がサプライヤーを網羅的に調べたわけではない。チェコ政府はパッチ適用が終わるまで公式サイトを停止する措置を取った。対応状況にはばらつきがある。PHP財団自身も、2024年に兆候を発見していたものの、内部で2年間も議論が続いたと認めている。公式の表現は「structural failure」だ。

対象資産への影響：$BTC $ETH $BNB のような大型時価総額銘柄は、オンチェーン資金を動かせないため、こうした事件による影響は主にセンチメントの揺れにとどまる。本当に危険なのは、今後数日、ブラウザーでむやみにサイトを見て回ったり、エアドロップを受け取ったり、小規模サイトにウォレットを接続したりする人だ。失うのは価格ではなく、鍵だ。

結論はシンプルだ。パッチが脆弱性への対応に追いつくまで、少なくとも1週間はかかる。今後数日、やるべきことは3つ。知らないリンクは開かない。大口資金をブラウザー拡張機能のウォレットに置かない。取引所のAPI Keyを一度ローテーションする。個人的な見解であり、参考情報としてお受け取りください。

#PHP安全预警 #CZ #币圈安全 #交易所 #BTC