• CZ氏は、いずれも10点満点中9.2点と評価されたPHPの脆弱性2件が公表されたことを受け、暗号資産ユーザーに注意を呼びかけました。

• PHPは10月21日に修正パッチを公開しました。一方、サイバーセキュリティ機関は、脆弱なシステムが実際に悪用されているとの報告を受け、組織にアップデートを促しました。

Binanceの創設者であるChangpeng Zhao氏は、ウェブサイトやオンラインアプリケーションの構築に広く使われているプログラミング言語PHPで2件の重大な脆弱性が発見されたことを受け、暗号資産ユーザーにウェブサイトを閲覧する際は注意するよう呼びかけました。

10月21日に投稿した警告の中で、Zhao氏はCVE-2026-109618およびCVE-2026-109619として特定された脆弱性に言及し、ウェブサイトの管理者が最新のセキュリティアップデートを適用していない可能性があると注意を促しました。

心配しすぎだと言われるかもしれませんが、今後数日間は、どのウェブサイトを訪問する場合も特に注意してください。ウェブ管理者の中には、セキュリティパッチを常に最新の状態にしているとは限らない人もいるためです。人気アプリのWordPressやMagentoを動かすサーバーに影響する、ウェブプログラミング言語PHPの2件の脆弱性（CVE-2026-109618、CVE-2026-109619）が報告されました。詳細が早期に漏えいしたことを受け、パッチは2026年10月21日に公開されました。脆弱性の公表後まもなく、実際の環境で悪用されたことが確認され、ITチームは迅速にWAFによる保護とパッチ適用に動きました。認証不要の攻撃により、訪問先のサイトが認証情報の窃取やデバイスへの攻撃の足掛かりとなる可能性があるためです。SAFUでいきましょう！

— CZ BNB (@cz_binance) 2026年10月21日

この脆弱性の深刻度は10段階中9.2と評価されており、攻撃者は認証なしで、影響を受けるサーバー上に悪意のあるコードを実行させる可能性があります。これにより、サーバー上のファイルやデータベースにアクセスしたり、ウェブサイトのコンテンツを改ざんしたりできるおそれがあります。

緊急セキュリティアップデートを公開

PHP開発チームは10月21日にセキュリティアップデートを公開し、管理者にシステムを直ちに更新するよう呼びかけました。修正済みバージョンはPHP 8.2.35、8.3.36、8.4.27、8.5.12です。

PHPの公式勧告によると、一方の脆弱性はシステムのメモリ不足時に発生するメモリ破損に関するもので、もう一方はメモリ解放後も内部データにアクセス可能な状態が続く問題です。どちらの欠陥も、影響を受ける構成ではリモートコード実行につながる可能性があります。

こうしたセキュリティ上の懸念を受け、各国の政府系サイバーセキュリティ機関が警告を発しています。欧州連合サイバーセキュリティ機関をはじめとする欧州の機関は、組織に対し、影響を受けるシステムを特定し、提供されているパッチを適用するよう呼びかけました。ニュージーランドの国家サイバーセキュリティセンターも、すでに悪用が行われていることを把握していると報告しました。

暗号資産ユーザーにとって懸念されるのは、ウェブサイトを侵害した攻撃者が、サイトのコンテンツを改ざんしたり、偽のウォレット接続要求やログインページを挿入したりする可能性があることです。ただし、この脆弱性が主に影響するのはウェブサイトのサーバーです。PHPを使ったウェブサイトを訪問しただけで、訪問者のデバイスや暗号資産ウォレットが自動的に侵害されるわけではありません。

PHPチームは、完全な対策はアップデートのみだと述べています。古いサポート対象外のPHPバージョンを使っている管理者は、アップグレードするか、ソフトウェア提供元から適切な修正を入手する必要がある場合があります。

10月22日時点で、悪用の報告は出ていましたが、確認した情報源の範囲では、これらの脆弱性と暗号資産取引所への侵入、またはユーザーのウォレット資産の損失を直接結び付けるインシデントは確認されていませんでした。