PHPの2つの重大な脆弱性（CVE-2026-109618、CVE-2026-109619、深刻度9.2/10）により、ログインせずにウェブサーバー上でコードを実行できてしまいます。SlowMistのMistEyeスキャンによると、分析対象となった1,488の暗号資産関連ドメインのうち793でPHPが使われています。
パッチは10月21日13:30 UTCに公開されました（PHP 8.5.12、8.4.27、8.3.36、8.2.35）。CISAは直ちにパッチを適用し、PHP 8.1以前のサーバーは停止するよう求めています。CERT-EUによると、すでに概念実証コードが出回っています。
今よく聞く誤解は、「自分の取引所はPHPを使っていないから安心」というもの。大手のいくつかについては、その通りです。BNB ChainとPancakeSwapは自社の技術スタックにPHPはないと述べ、Coinbaseは外部に公開されたインスタンスは見つからなかったとし、BitGoは影響を受けていないとしています。
しかし、リスクは資金を預けているプラットフォームだけにとどまりません。そこにたどり着くまでに経由するブログ、トークンのページ、ダッシュボード、アグリゲーターにも潜んでいます。サーバーが侵害されれば、見慣れたページに偽の「ウォレットを接続」ボタンや資産を抜き取る仕組みが表示される可能性があります。CZは、今後数日間はウェブ上で「いつも以上に注意する」よう呼びかけています。
私の見立てでは、最もリスクが高いのは今です。小規模サイトがパッチを適用する前だからです。この先の展開は2つ考えられます。パッチ適用が迅速に進み、1週間ほどで警戒が薄れるか、侵害されたサイトやフィッシングの急増が確認されるかです。
今週は、リンクではなくブックマークを使うこと、署名内容を毎回確認すること、出金先アドレスをホワイトリストに登録すること、長期保有分をホットウォレットから移すことをおすすめします。一方、市場は特に反応していません。10月22日14:45 UTC時点で、Krakenでは$BNB が約733ドル、$ETH が約2,410ドルです。
毎日開いている暗号資産関連サイトを、もう確認しましたか？それとも最初の被害が出るまで待ちますか？
#CryptoSecurity #PHP2Shell
パッチは10月21日13:30 UTCに公開されました（PHP 8.5.12、8.4.27、8.3.36、8.2.35）。CISAは直ちにパッチを適用し、PHP 8.1以前のサーバーは停止するよう求めています。CERT-EUによると、すでに概念実証コードが出回っています。
今よく聞く誤解は、「自分の取引所はPHPを使っていないから安心」というもの。大手のいくつかについては、その通りです。BNB ChainとPancakeSwapは自社の技術スタックにPHPはないと述べ、Coinbaseは外部に公開されたインスタンスは見つからなかったとし、BitGoは影響を受けていないとしています。
しかし、リスクは資金を預けているプラットフォームだけにとどまりません。そこにたどり着くまでに経由するブログ、トークンのページ、ダッシュボード、アグリゲーターにも潜んでいます。サーバーが侵害されれば、見慣れたページに偽の「ウォレットを接続」ボタンや資産を抜き取る仕組みが表示される可能性があります。CZは、今後数日間はウェブ上で「いつも以上に注意する」よう呼びかけています。
私の見立てでは、最もリスクが高いのは今です。小規模サイトがパッチを適用する前だからです。この先の展開は2つ考えられます。パッチ適用が迅速に進み、1週間ほどで警戒が薄れるか、侵害されたサイトやフィッシングの急増が確認されるかです。
今週は、リンクではなくブックマークを使うこと、署名内容を毎回確認すること、出金先アドレスをホワイトリストに登録すること、長期保有分をホットウォレットから移すことをおすすめします。一方、市場は特に反応していません。10月22日14:45 UTC時点で、Krakenでは$BNB が約733ドル、$ETH が約2,410ドルです。
毎日開いている暗号資産関連サイトを、もう確認しましたか？それとも最初の被害が出るまで待ちますか？
#CryptoSecurity #PHP2Shell