数百万件のPHP攻撃試行を受け、CZがオンライン上の警戒を呼びかけ

CoinbaseとBitGoは影響なしと報告

新たに公表されたPHP脆弱性への攻撃試行は数百万件規模に達し、大手暗号資産企業は10月22日、自社システムへの影響の有無に関する声明を相次いで発表した。Coinreadersの確認では、Coinbase(COIN)とBitGoはいずれも、インフラへの影響を示す証拠は見つかっていないと報告した。Binanceは公式のセキュリティパッチが配布される前に防御措置を適用済みで、必要と考える対応を完了したとしている。その報告時点で、暗号資産企業への侵害も利用者資金の損失も確認されていない。Binance共同創業者のChangpeng Zhao、業界ではCZの名で知られる人物は、今後数日間はウェブサイトを訪れる際に極めて慎重になるよう利用者に警告した。懸念の中心は、パッチ適用が遅れているサイトが、ログイン情報の窃取や訪問者の端末への攻撃の経路になり得るという点だ。今回の警告の核となる脆弱性の種類は、攻撃者がログインなしでサーバー上のコードを実行できるものだ。PHP開発チームは10月21日に修正版をリリースしたが、適用は各サイト運営者自身の作業として残されている。インフラの監視データは走査の規模を示している。Cloudflareの記録では、情報公開から2時間以内に攻撃試行が数十万件に急増し、その後は数百万件規模に達した。Amazonは10月17日、脆弱性が公表される前の時点で既に攻撃試行を観測していたと述べた。別の問題も浮上した。インドの認証局eMudhraでは、8枚の中間証明書が異常に弱い秘密鍵を持っていた。この組み合わせは、攻撃者が取引所になりすます証明書を偽造することを可能にする。ブラウザ側では遮断が始まっているが、独自の証明書リストを保持する取引プログラムは遮断が及ばない可能性がある。Lightning Labsは、Bitcoinおよびライトニングネットワーク向けソフトの利用者に即時の更新を求めた。注意喚起とともに流通している実用ガイドは、取引所にはブックマーク済みの公式サイトからのみアクセスすること、緊急性を装う更新ポップアップを信用しないこと、送金前にすべての入金アドレスを保存済みのものと照合することを推奨している。

CVE-2026-109618とCVE-2026-109619

警告の土台にあるのは、ウェブの大部分(すべてのWordPressサイトを含む)を支えるサーバー言語PHPに存在する2つの重大な脆弱性だ。計画されていた公表より前に詳細情報が流出したため、両脆弱性は10月21日の緊急セキュリティリリースで修正された。管理番号はCVE-2026-109618およびCVE-2026-109619で、いずれも攻撃者によるログインを必要としない。CZは10月21日、Xへの投稿で、偏執症的だと言われるかもしれないが、今後数日はどのウェブサイトも訪れる際に十分警戒すべきだと書き、一部のサイト運営者はセキュリティを常に最新に保てているわけではないと指摘した。さらに、2つの脆弱性の悪用が公開から間もなく実環境で確認されたと述べた。PHP Foundation自身の説明は一点で食い違う。同財団の声明によれば、CVE番号は10月20日、誤ったリリース日と公表された深刻度10とともにネット上で流出した。実際のスコアは9.2だ。脆弱性を報告した当事者の一つCalifは、悪用手順を説明する動画を誤って公開し、Chainguardは合意時刻の6時間以上前に修正済みビルドを出荷した。財団は、更新が公開される前に実際の悪用は観測されていないとしており、これはCZの後の発言と矛盾する。政府のサイバー機関も並行して動いた。NSAはPHP利用者に対し、更新に備えること、即時のパッチ適用が難しい場合は該当システムをオフラインにすることを助言した。FBIのサイバー部門はこの勧告を繰り返し、PHPプロセスがシステムコマンドを予期せず起動していないかを監視するよう運営者に求めた。暗号資産プラットフォームでは、BNB ChainのNina Rongが、同ネットワーク自体はPHPを動かしていないことを確認した。BNB Chain大手のDEXであるPancakeSwapは、自社インフラではPHPを使用しておらず、利用者資金は安全であると発表。CZはその声明を再投稿し、大半のプロジェクトは少なくともこの種の確認を公表すべきだとコメントした。

@cz_binance · Xの投稿

Xへの投稿.

Xで見る

パッチ前の情報流出

本件の一次資料であるPHP Foundationのリリースノートは、リスク期間を正確に示している。脆弱性の詳細は10月20日にネット上で流通し、修正は10月21日に到着した。つまり、未適用のサーバーは約1日、実用的な悪用ガイドが公開された状態にさらされていたことになる。公表された深刻度10と実際の9.2との食い違い、6時間早い修正済みビルドの出荷。これらは通常のパッチサイクルではなく、調整された情報公開プロセスが目に見える形で限界に追い込まれたことを示している。暗号資産利用者にとっての残存リスクは、見出しの印象より狭い。取引所の侵害も利用者資金の損失も確認されていない。実務上のリスクは、侵害されたサイトでのアドレスのすり替えだ。ハードウェアウォレットは送金先アドレスを表示するが、改ざんされたウェブサイトが偽のアドレスを提示していないかどうかを判断することはできない。