Trust Wallet、深刻度9.2の重大PHP脆弱性は同社製品に影響なしと公式発表 利用者の対応不要

Trust WalletがPHPリスクを精査

Trust Walletは2026年10月22日、公式見解を発表した。同社のウォレットアプリケーションと中核インフラはPHP上に構築されておらず、今週明らかになったPHPの重大な脆弱性は同社製品に及んでいないため、利用者側の対応は不要だという。PHPの脆弱性が公表されてから約1日以内に、同社はX上の公式声明でこの立場を示した。問題のPHPが公になると、暗号資産コミュニティで最初に浮かんだ疑問は、暗号資産ウォレット事業者が影響を受ける技術基盤に含まれるのかというものだった。同社の答えは、アプリケーションとインフラの両面で「否」だ。アプリは問題の技術で書かれておらず、中核インフラもそれに依存していないため、開示された脆弱性は同社のサービスには適用されない。公式声明は次の通りだ。「近日開示されたPHPのセキュリティ脆弱性を認識しています。Trust Walletのウォレットアプリケーションおよび中核インフラはPHP上に構築されていません。利用者への影響はなく、対応も不要です」。続く指示は明快だ。資金の移動、新規アカウントの作成、追加のセキュリティ手続きは一切求められず、同社はこの投稿を事故対応ではなく監視状況の更新として位置づけている。この安心材料は意図的に範囲を狭めており、その線引き自体も同社が明示している。声明が対象とするのは新たに開示されたPHPの脆弱性と、同社のアプリケーションおよびインフラとの関係だけで、それ以上の範囲には及ばない。ウォレットがあらゆる攻撃から安全だと言うものではなく、保有者が訪れる可能性のある他のプラットフォームにも適用されない。この見解は利用者被害の報告が一段階前に出た時点で示され、同社は被害が想定されない理由としてアーキテクチャ上の要点を挙げている。

CVE-2026-109618とCVE-2026-109619

声明の発端となったのは、ウェブの多くを支えるサーバーサイド言語であるPHPの重大な脆弱性2件だ。2026年10月21日に公表され、CVE-2026-109618とCVE-2026-109619として管理されている。両者ともCVSS 4.0基準で10点満点中9.2と評価されており、特定の条件下では攻撃者が脆弱なサーバー上で悪意あるコードを遠隔実行できる。リスクの所在は、セキュリティ更新を適用していないPHPベースのウェブサーバーで、影響を受けたサーバー構成ではWordPressやMagentoなどPHP製アプリケーションが対象になり得る。ただし、この開示はすべてのPHPサイトが攻撃されたことや利用者データが流出したことを意味するわけではない。PHP開発チームは開示と同日に修正版を提供しており、パッチ済みリリースには8.2.35、8.3.36、8.4.27、8.5.12が含まれる。サーバー管理者は自環境のバージョンに対応する修正ビルド、または配布元のセキュリティパッケージへ更新することが求められる。こうした状況を踏まえ、Trust Walletは自社利用者に対し、これらの脆弱性を理由とするウォレットの入れ替え、送金、新規アカウント作成は不要だと説明する。一方で同社は、常に念頭に置くべき予防策を併せて提示している。インフラ面のリスクが除外された後も、ホットウォレットはネットワークに接続し続けるため、セキュリティの負担の多くは利用者の行動にかかっている。大型のセキュリティニュースが流れた後は、偽のサポートアカウントが別のウォレットアドレスへの資産移動を促すケースが相次ぐ。リカバリーフレーズはどんなサイトにも、サポートを名乗る人物にも決して渡さないこと、ウォレット接続を求める不審なアプリを避けること、署名前に取引の承認内容を細かく確認することが挙げられる。より強い隔離が望まれる長期保有分はハードウェアウォレットの候補となり、導入を検討する読者は弊紙のCypherock X1ウォレットガイドでセットアップの詳細を確認できる。同社は最後に一つの留保を加えている。PHPの脆弱性はウォレットアプリには触れなくても、利用者が訪れるウェブサイトには影響し得るため、この声明はすべての暗号資産プラットフォームが安全だとする主張として読むべきではない。別の調査も並行して進んでおり、DarkSwordのiPhoneエクスプロイトは9つのウォレットアプリにわたりTrust Wallet利用者を標的としたものとして引き続き記録されている。

残るリスクはPHPではなくフィッシング

弊紙の読みでは、今回の声明は狭い問いに決着をつけた一方で、より広い問いを残している。ここでの一次記録は同社自身の投稿であり、その射程はTrust Walletのアプリケーションと中核インフラに限られる。検証が済んでいないのは、ホスティング事業者からウェブアプリケーションまで、利用者が依存する他のPHP基盤サービスに暴露があったかどうかだ。修正リリースが管理者には具体的な解決策を与える一方、更新されていないサーバーこそが明示されたリスクとして残り、そのギャップを断じる記録は現時点に存在しない。実務的な見通しとして、今後の損失経路はコードの悪用よりも行動面を通る可能性が高い。このセキュリティ報道を引き合いに出して送金を促すフィッシング文書は、脆弱性そのものの悪用よりも早く保有者の手元に届く。市場側は当面大きな動揺を見せていない。弊紙のリアルタイム監視では、TWTは過去24時間で約4.7%下落しており、セキュリティ報道を市況ニュースとして読む保有者は、水準ごとの文脈をTWTテクニカル分析で追跡できる。