要約

  • Binanceの創業者であるChangpeng Zhao氏は、PHPで2つの重大な脆弱性が見つかったことを受け、暗号資産ユーザーに、あらゆるウェブサイトを訪問する際には「一層注意する」よう呼びかけました。

  • 深刻度が10段階中9.2と評価されたこの脆弱性を悪用すると、攻撃者はログインせずにサーバー上でコードを実行できる可能性があります。

  • 詳細が早い段階でオンラインに流出したことを受け、PHPは10月21日に緊急パッチを公開しました。

  • 欧州やオーストラリアなどの政府は、予防措置としてウェブサイトを一時停止しました。

  • CoinbaseとBitGoは影響を受けていないと述べており、この脆弱性に関連する暗号資産の損失は報告されていません。

PHPで2つの重大なセキュリティ脆弱性が見つかったことを受け、Binanceの創業者であるChangpeng Zhao氏は、暗号資産ユーザーにオンラインで一層の注意を払うよう警告しました。PHPは、世界中の何百万ものウェブサイトを支えるプログラミング言語です。

「私を paranoid（疑い深い）だと思っても構いませんが、今後数日間は、どのウェブサイトを訪問する場合もいつも以上に注意してください」と、趙氏は10月22日に書いた。一部のウェブサイト管理者は最新のセキュリティ修正を適用していない可能性があると述べた。

私を疑い深いと思っても構いませんが、一部のウェブサイト管理者はセキュリティパッチを常に最新の状態にしているとは限らないため、今後数日間はどのウェブサイトを訪問する場合も特に注意してください。

ウェブプログラミング言語PHPで2件の脆弱性（CVE-2026-109618、CVE-2026-109619）が報告され、サーバーに影響…

— CZ 🔶 BNB (@cz_binance) 2026年10月21日

CVE-2026-109618およびCVE-2026-109619として追跡されているこの脆弱性を悪用すると、攻撃者はログインせずにウェブサーバー上で有害なコードを実行できる可能性がある。WordPress、Magento、Drupal、Joomlaなどのプラットフォームで構築されたサイトが影響を受ける。

この脆弱性が影響するのはサーバーであり、訪問者に直接影響するものではない。PHPベースのウェブサイトを訪問しても、端末や暗号資産ウォレットが自動的に危険にさらされることはない。

PHPの脆弱性の仕組み

PHP Foundationは、どちらの脆弱性にも10点満点中9.2点の深刻度スコアを付けた。PHPがメモリを管理し、エラーを処理する方法に弱点がある。

1つ目の脆弱性は、PHPがメモリ上限に達した際に発生するメモリ破損に関するものだ。2つ目は、解放後もアクセス可能な状態で残るメモリに関するものだ。セキュリティ企業のCloudflareは、この2つを「PHP2Shell」と呼んだ。

PHPは10月21日、修正済みバージョン8.2.35、8.3.36、8.4.27、8.5.12を公開した。PHP Foundationは管理者に対し、直ちにアップデートするよう呼びかけた。

10月20日、深刻度スコアが誤って10.0とされた詳細情報がオンラインに漏えいした。その後、セキュリティ企業Califが誤って概念実証動画を公開したため、PHPチームはリリースを1日前倒しした。

PHP Foundationは、この問題の兆候を初めて確認したのは2024年だったと認めた。対応が遅れたのは、意思決定プロセスとリソース不足に起因する「構造的な失敗」だったと述べた。

その後、CalifとOpenAIは8月11日に同じ問題を報告し、最優先事項となった。

各国政府と暗号資産企業の対応

世界各国の政府機関は予防措置として、水曜日にウェブサイトを停止した。オランダはデジタルIDサービスを停止し、フィンランド、フランス、ドイツは複数の公共サイトを無効化した。

オーストラリアのサイバーセキュリティ関連ウェブサイトも影響を受けた。日本の高市早苗首相は、ウェブサイト運営者にできるだけ早くパッチを適用するよう促した。

Wikimedia Foundationは一部のサポートサービスを停止し、その結果、Wikipediaの一部が閲覧できなくなった。

暗号資産分野では、セキュリティ企業SlowMistが、調査した暗号資産関連ドメイン1,488件のうち、PHPの特徴が直接確認できるドメインを793件特定した。同社は取引所、DeFiプラットフォーム、ウォレット提供事業者にアップグレードを促した。

Cardanoの開発を支援するIntersectは、影響の有無を調査する間、Members Areaを停止した。CoinbaseはPHPのインスタンスが外部に露出していないことを確認したと述べ、BitGoは自社プラットフォームに影響はなかったとした。

趙氏の警告は、Googleの検索結果に表示された偽のLedgerウェブサイトなど、暗号資産ユーザーを狙った最近のフィッシング攻撃を受けたものだ。PHPサーバーがハッキングされると、攻撃者がサイトのコンテンツを変更したり、偽のウォレット接続要求を追加したりする可能性がある。

PHPのセキュリティチームは、情報公開時点で実際に機能するエクスプロイトは確認されていないと述べた。本稿執筆時点で、この脆弱性に関連する暗号資産取引所やユーザーウォレットのセキュリティインシデントは報告されていない。

「Binance創業者CZ、重大なPHPセキュリティ脆弱性について暗号資産ユーザーに警告」の記事は、Blockonomiに最初に掲載された。

#CZ