BNBチェーン、PHP不使用を確認 米NSAサイバー部門が重大な脆弱性を警告

更新 11:00 UTC：注意喚起の技術的詳細は10月21日に明確になった。

NSAサイバー部門がPHPの脆弱性を警告

2026年10月22日(木)、ブロックチェーンネットワークのBNB Chainは、自社の技術基盤にPHPが一切含まれていないと利用者向けに発表した。米国家安全保障局(NSA)のサイバー部門が重大な脆弱性の修正アップデートに備えるようPHP稼働組織に通知したことを受け、数時間以内の対応である。同部門の注意喚起によれば、この種の欠陥は攻撃者にサーバーのファイルシステムへの直接的な侵入経路を与えることが多く、該当コードで動くウェブサイトやサービスを危険にさらす。PHPはウェブの相当部分で使われているサーバーサイドのプログラミング言語であり、注意喚起は暗号資産業界にとどまらず広範に届けられた。その結果、主要なブロックチェーンプロジェクトはそろって保有者から同じ問いに直面した。自社のネットワークは暴露されていないのか。ネットワークの担当者であるNina Rong氏はX上でこの問いに直接答え、BNB ChainはPHPを使用していないと確認する短い投稿で技術基盤を明示し、利用者に安全な行動を呼びかけた。投稿はわずか2行だったが、数時間で4万7,000回以上閲覧された。BNBエコシステムの保有者がBNBの価格動向と併せてこの展開を追っていた規模を示す数字だ。取引の処理と資金の保護を担うコードについて利用者が本当に知りたかったのは、欠陥のあるソフトウェアに触れている部分があるかどうかという一点であり、チームの回答は「一切ない」だった。注意喚起の対象は直接的にはブロックチェーンではなくウェブアプリケーションだが、時間的切迫の中で利用者がその区別を気にすることはまずない。政府機関の警告と2文の返信のやり取りは、業界のより大きなプロジェクトが何も発信しないうちに完了した。

注意喚起の技術的詳細は10月21日に明確になった。PHPチームがCVE-2026-109618およびCVE-2026-109619として管理される2件の脆弱性向けセキュリティ更新を公開したもので、これらは攻撃者が認証なしに脆弱なサーバー上でコードを実行できる可能性がある。脆弱性の情報が早期に流出したことで管理者が修正を適用できる時間枠は狭まり、ブロックチェーンセキュリティ企業のSlowMistは取引所、DeFiプラットフォーム、ウォレット事業者がいずれも影響範囲に含まれると警告した。Binanceは自社の声明で、セキュリティチームが公式パッチの公開前に先回りして修正を適用し、引き続き監視を続けていると述べた。その後も確認は相次いだ。KrakenはバックエンドをRustに移行したため影響を受けていないと報告し、Trust WalletはPHPを一切使用していないと述べた。CZは、一部の管理者は速やかに修正を適用しない可能性があるとして、今後数日間サイトを訪れる際には利用者が一段と注意を払うよう呼びかけた。

PancakeSwapが先に発表、CZも追随

BNB Chain上で最大級のDeFiプラットフォームの一つであるPancakeSwapは、Rong氏の投稿が現れる数時間前に、すでに自社の確認を公表していた。同チームは技術基盤のどこにもPHPが存在しないこと、プラットフォームは当該警告の影響を受けないこと、利用者の資金は安全であることを明言した。続いてBinance創業者のChangpeng Zhao氏(業界ではCZの呼称で広く知られる)がその投稿を共有し、この慣行を支持する自らの投稿で立場を示した。セキュリティ警告が拡散した際、少なくとも多くのプロジェクトはこうした確認を公表すべきだという主張だ。背後にある仕組みは単純である。政府機関が警告を出すと、沈黙は恐怖とfud(根拠の薄い不確実性と疑念)を生むが、数分の返信で多数の利用者を同時に安心させられる。暗号資産プラットフォームが実際の資金を預かっており、利用者がリスクの兆候に素早く反応するだけに、賭け金は大きい。攻撃対象領域はチェーン自体より広い点にも注意が必要だ。業界の多くのウェブサイト、ウォレット用インターフェース、ダッシュボードは、コアとなるブロックチェーンコードがPHPを使っていなくても、システム内のどこかでPHPを動かしている可能性がある。詐欺師が動くのはまさにこの隙間だ。こうした注意喚起が出ると、セキュリティ修正を装う偽メッセージが必ず流れ、目的は警戒心に駆られた利用者からウォレットアドレスや秘密鍵を奪うことにある。利用者は公式チャンネルだけを情報源とし、修正の主張があればプロジェクト自身の公式アカウントで確認してから動くのが最善だ。当社のブロックチェーンセキュリティ監査ガイドではこうした報告書の読み方を解説している。ネットワーク上のアプリケーション層の最近の事故、284万ドル規模のBNB Smart Chainからの資金流出や1,000万CYSの不正発行によるCysicブリッジ停止は、この警戒がチェーン自身のコードにとどまらない理由を示している。

ここで信頼すべき記録は一次資料である。片側にNSAサイバー部門の注意喚起、反対側に10月22日付のBNB ChainとPancakeSwapの両確認文書がある。この構図が新しいのは、通常のウェブソフトウェアをめぐる政府の注意喚起が、ブロックチェーンプロジェクトに数時間以内で技術基盤の開示を迫るものになった点だ。保有者は沈黙そのものをリスクの兆候として扱う。一方、両確認が残した空白は他のすべてのプレイヤーだ。注意喚起に答えなかったBNB Chain上の全プロジェクト、そしてチェーンレベルの否定が届かないアプリケーション層で依然PHPを動かしうるサードパーティのダッシュボード、フロントエンド、ウォレットサービス。これらのサービスの利用者は、週の終わりまで何の回答も得られないままだった。