PHPの重大な脆弱性がWeb3インフラを危険にさらす
2件の重大なPHP脆弱性、CVE-2026-109618およびCVE-2026-109619は、CVSS v4.0のスコアが9.2で、インターネットに公開されたPHPサービスにおいて、認証なしのリモートコード実行を可能にするおそれがあります。Amazonのハニーポットは、早ければ10月17日に悪用の可能性がある試みを検知しました。脆弱性の詳細は、PHPチームが予定より前倒しで10月21日に緊急パッチを公開する前に漏えいしました。
この問題はPHP 5.4から8.5.11までのバージョンに影響します。SlowMistは、スキャンした暗号資産関連ドメイン1,488件のうち793件、約53.3%で、PHPを使用している明確な痕跡を確認しました。これはPHPの利用を示すものであり、脆弱な状態にあることや侵害されたことが確認されたという意味ではありません。リスクのあるWeb3インフラには、ウェブサイト、API、エアドロップページ、管理パネル、決済連携、ホスト型ウォレットサービスなどが含まれる可能性があります。サーバーが侵害されると認証情報が漏えいしたり、ページが改ざんされて利用者が悪意のあるトランザクションに署名するよう誘導されたりするおそれがあります。ただし、スマートコントラクト、ウォレット、秘密鍵が直接侵害されるわけではありません。
修正済みリリースはPHP 8.2.35、8.3.36、8.4.27、8.5.12です。各プロジェクトは速やかにアップグレードし、公開されているシステムを調査し、侵害が疑われる場合は認証情報を変更してください。PHP 8.1以前のバージョンは、サポート対象のリリースへ移行する必要があります。一時的な緩和策で一部の攻撃経路を減らせる場合がありますが、根本的な解決策はパッチの適用です。リスクはオフチェーンのWeb3セキュリティに関するものであり、暗号資産が失われたことを報告が示しているわけではありません。また、この脆弱性だけを理由に資産を引き出す必要があるということでもありません。
Neutral
これらの脆弱性はWeb3企業に深刻な運用上のリスクをもたらしますが、報告では特定の暗号資産は挙げられておらず、損失やブロックチェーンプロトコルへの直接的な影響を示す証拠もありません。そのため、特定のコインの価格がどちらに動くかを予測する明確な根拠はなく、暗号資産価格への影響は中立と見込まれます。短期的には、トレーダーはセキュリティ警告に慎重に反応し、影響を受けたプラットフォームを監視して、取引の確認画面を注意深く確認する可能性があります。市場の反応があるとしても、暗号資産全般の評価を大きく変えるというより、影響を受けたサービスに限定される可能性が高いでしょう。長期的には、脆弱性の悪用が成功したり、資産の損失が確認されたりすれば、影響を受けたプロジェクトへの信頼が損なわれ、そのトークンの売り圧力が高まるおそれがあります。迅速なパッチ適用とインシデント対応により、そのリスクは抑えられるでしょう。セキュリティ関連のニュースはボラティリティを高める可能性がありますが、PHPを使用しているというだけでシステムに脆弱性があるとは断定できず、報告内容も資金やスマートコントラクトが侵害されたと想定する根拠にはなりません。