SlowMist、Bitcoin(BTC)基盤サービスに重大なPHP脆弱性を警告 スコアは10点中9.2

更新 23:56 UTC：公開鍵の可視性に関する分析によれば、604万ビットコイン (BTC)、発行済み供給量の30.2%が、公開鍵がすでにオンチェーンで露出している出力に存在し、理論上は将来、ショアのアルゴリズムを実行する量子攻撃者に対して無防備となり得る。

SlowMistが重大なPHP脆弱性2件を指摘

ブロックチェーンセキュリティ企業のSlowMistが、Bitcoin(BTC)エコシステムの主要な保管拠点すべてに向けた緊急警告を発した。対象は中央集中型取引所、ウォレット事業者、さらにオンラインサーバーを運用するBitcoin DeFiプラットフォームに及ぶ。指摘されたのはPHPの脆弱性2件で、PHPは世界のウェブサイトの約7割がサーバーサイドで採用する言語だ。脆弱性はいずれもCVE-2026-109618とCVE-2026-109619として登録され、脆弱性の危険度を順位づける標準枠組みCVSS 4.0において、10点満点中9.2点という最高水準の評価が付いた。一定の条件下では、攻撃者が認証なしのまま脆弱なサーバー上で悪意あるコードを実行できる。サーバーが通常備える最も基本的な防壁が失われる形だ。1件目はサーバーのメモリが不足した状況をPHPが処理する仕組みに起因し、2件目はサーバーへのリクエスト間で既に無効になったメモリ上のデータが、それでも読み取り可能なまま残る問題を含む。勧告によれば、悪用に成功した場合、攻撃者はサーバー基盤に干渉し機密データへ到達し得る。SlowMistは、ユーザーアカウントと金融取引を24時間扱うプラットフォームにとって特に深刻な事態だと位置づける。同社の脅威インテリジェンス基盤MistEyeは、脆弱性が公表されると直ちに暗号資産セクターのPHP基盤を対象とするグローバル走査を開始した。走査の範囲はBitcoinや主要アルトコインを扱う取引所、ウォレットのバックエンド、関連サービスに及ぶ。オフチェーン側にも露出は広がる。あるネットワーク上でBTCを保持し別のネットワーク上で資産を発行するクロスチェーンブリッジは、まさに今回の脆弱性が狙う常時稼働のサーバー構成で動いている。一方、勧告は重要な一線も引いている。Bitcoin (BTC)ネットワーク自体はPHPを稼働させておらず、今回の報告はビットコインの価格にもプロトコルの決済ルールにも触れない。リスクの所在は、ユーザーの資産を預かる企業とサービスの側にある。

「PHP2Shell」として広くタグ付けされたこの開示についての新たな報道は、悪用の試みがすでに進行中であることを裏付ける証拠を加えている。Cloudflareは、攻撃者が同社の顧客に対してこの脆弱性を試みたと警告し、欧州の政府サイトは予防措置として一時的にオフラインとなった。Wiz Researchは、侵入が成功した場合、パスワード、認証トークン、APIキーが露出し得ると述べた。リスク評価は暗号資産の3カテゴリーを特に指摘する。WooCommerce統合を備えたPHP基盤の決済ゲートウェイ(Binance Pay、Crypto.com Pay、BitPay、CoinGate、CoinPaymentsが名指しされた)、PHPのアカウントまたは決済システムを稼働する小規模な取引所、そしてフロントエンドが改ざんされ偽のアドレス表示や悪意ある取引承認を促される恐れのあるDeFiおよびウォレットのウェブサイトだ。名指しされたプロバイダーや主要取引所の侵害が確認された事例は記録されていない。Krakenは2025年に中核となるバックエンド基盤をPHPからRustへ移行を完了しており、露出は相対的に低い。

同日に発表された別のオンチェーン調査は、PHPの脆弱性ではなく量子コンピューターによる露呈の問題ではあるが、ビットコイン保有者にとってカストディ関連のもう一つのデータを加えている。公開鍵の可視性に関する分析によれば、604万BTC、発行済み供給量の30.2%が、公開鍵がすでにオンチェーンで露出している出力に存在し、理論上は将来、ショアのアルゴリズムを実行する量子攻撃者に対して無防備となり得る。運用上の露出は412万コインで、スクリプト種別で構造的に露出と分類された192万コインの2.1倍に達する。取引所のカストディは163万コインと最大の単一構成要素で、運用上の露出全体の40%を占める。機関レベルの数値には幅が大きい。Binanceの公開タグ付き保有分は85%、Bitfinexは100%の露出を示す一方、Coinbaseは5%、国家が保有する金庫は0%だ。

パッチは10月21日に提供

PHP開発陣は10月21日に両脆弱性の修正をリリースした。サポート中の4系統すべてに対し、修正済みビルドとして8.5.12、8.4.27、8.3.36、8.2.35を提供している。4つのビルドはいずれも同一の2件の修正を含むため、管理者はバージョン移行を行う必要はなく、各系統内で修正版へ更新するだけで穴を塞げる。修正の対象外となるサポート中の系統は存在しない。開発陣はパッチとともに運用上の警告も発した。アクセス制限や一時的な緩和策だけでは不十分であり、包括的な保護には更新適用が不可欠だという。SlowMistもこの見解に同調し、Bitcoin基盤を担う企業へ具体的な確認項目を示した。運用者に対し、自社サーバーで動くPHPのバージョンを点検すること、外部インターネットから到達できるシステムを優先すること、セキュリティ更新を遅延なく導入することが求められている。順序が重要なのは、露出が業界内で一様ではないからだ。取引所の公開APIゲートウェイは内部のレポート用ツールより攻撃対象面が広く、MistEyeの走査はまさにこの区別、つまりどの暗号資産サービスがPHPをインターネットに公開し、どれが公開していないかを地図化するために設計された。同社の指針は、インターネットから到達可能なシステムを最初の修正対象とし、残りを到達可能性の順に処理することを求める。未修正サーバーの悪用が成立すれば、ユーザー残高と取引処理を支える基盤が損なわれ得る。だからこそ対応の猶予は週ではなく日単位で測られる。Bitcoin (BTC)を預かるプラットフォームにとって、バージョン番号はコンプライアンス部門に単純な監査基準を与える。各系統で8.2.35より古いビルドを動かしているサーバーは、次の営業時間が終わる前に対応が必要だ。

カストディの問題でありBitcoinネットワークではない

今回の開示に対する当社の読みはこうだ。保有資産への危険はサードパーティのサーバーを経由して及ぶもので、Bitcoinプロトコル自体は対象外であり、自己管理で資産を保管するユーザーは被害範囲の外にいる。Bitcoinマイニングの運用者も直接的な範囲から外れる。マイニング基盤はPHPのウェブ構成に依存していないためだ。最も露出が大きいのはカストディ型の金融商品で、中でもWrapped Bitcoinトークンが筆頭に挙げられる。裏付けの担保が発行体サーバーの健全性に依存するからだ。市場は現時点で、この開示を方向性の転換ではなく運用上の問題として処理している。今月上旬、ビットコインの価格は10月の反発局面で週足ベースの高値となる約8万5,000ドルを付けていた(週足高値の詳報)。この件がセンチメントを損なうかを追う向きには、当社のBitcoinテクニカル分析が参考になる。リスクが現実化するには前提条件が一つ必要だ。暗号資産プラットフォーム側の、未修正でインターネット公開のPHPサーバーが、運用者が10月21日の修正を導入する前に発見され、悪用されることだ。