PHPのセキュリティ上の脆弱性により、暗号通貨ウォレット利用者がリスクにさらされる：2026年10月に知っておくべきこと
PHPの重大なセキュリティ脆弱性により、攻撃者がウェブサイトのインフラの弱点を標的にする傾向が強まっていることから、仮想通貨業界全体で懸念が高まっています。これらの脆弱性は総称してPHP2Shellと呼ばれ、脆弱なサーバー上で不正なリモートコード実行を可能にし、仮想通貨ウォレット、分散型金融（DeFi）プラットフォーム、デジタル資産サービスの利用者をセキュリティ脅威にさらす可能性があります。PHP開発チームは緊急パッチをリリースしましたが、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は既に悪用が進行していることを確認しており、迅速な更新の重要性を強調しています。これらの脆弱性はブロックチェーンネットワーク自体を直接攻撃することはありませんが、攻撃者がウェブサイトを操作し、ユーザーを欺いて悪意のあるトランザクションを承認させる可能性があります。技術的なリスク、確認されたセキュリティ対応、実用的なウォレット保護対策を理解することは、デジタル資産を守るために不可欠です。
CVE-2026-109618およびCVE-2026-109619という2つの重要なPHPセキュリティ脆弱性が、このプログラミング言語のメモリ管理における弱点を暴露しました。両方ともCVSS v4.0の深刻度スコアが10点満点中9.2と高く、認証なしのリモートコード実行（RCE）が可能であることを示しています。これらは総称してPHP2Shellと呼ばれ、仮想通貨プラットフォームを含むオンラインサービスで使用されるWebインフラに影響を与えます。これらはブロックチェーンネットワークやプライベートキーを直接攻撃することはありませんが、サーバーが攻撃に成功した場合、機密情報の漏洩、サービスの停止、またはウェブサイトコンテンツの改ざんが発生する可能性があります。この違いは、サーバーサイドのセキュリティ上の弱点が仮想通貨ウォレット利用者に間接的な脅威をもたらす可能性があることを理解する上で重要です。
PHP2Shell脆弱性がリモートコード実行を可能にする方法
CVE-2026-109618は、PHPのメモリ不足（OOM）処理中にメモリ破損が発生する問題です。プロセスが設定されたメモリ制限に達した場合、一部の内部データ構造が部分的に初期化されたまま残ることがあります。その後のクリーンアップ処理がこのデータを誤って処理することで、攻撃者が不正なコードを実行する可能性のある状況が生じます。この脆弱性は、成功した攻撃に有効なログイン資格情報が不要であるため、特に懸念されます。これにより、公開されているウェブサイトやアプリケーションの曝露リスクが高まります。この弱点はPHPのランタイム内に存在するため、通常のアプリケーション認証チェックでは悪意のあるリクエストが脆弱なコンポーネントに到達するのを防げません。
CVE-2026-109619は、陳腐化したグローバルステートとuse-after-freeのメモリ状態に関係しています。この脆弱性は、関連するメモリが解放された後も内部参照が有効なままになる場合に発生し、悪意のあるリクエストがメモリ破損を引き起こす可能性があります。PHPセキュリティチームは、研究者がアプリケーションレベルの処理が始まる前にコードを実行できる攻撃を実証したため、mod_phpを搭載したApacheが特に高リスクな環境であると特定しました。PHP-FPM、php-cgi、FrankenPHP、LiteSpeedを含むその他の構成についてもセキュリティ更新が必要ですが、悪用条件は異なる可能性があります。実際のセキュリティへの影響は、サーバーの構成、外部リクエストへの露出状況、および対象コンポーネントがパッチ済みかどうかによって異なります。
影響を受けるPHPバージョンと必須のセキュリティ更新
PHP開発チームは、2つの重大な脆弱性に対処するために4つの緊急セキュリティ更新をリリースしました。パッチ適用済みバージョンは、PHP 8.5.12、PHP 8.4.27、PHP 8.3.36、およびPHP 8.2.35で、サポートされているバージョンブランチをカバーしています。これらのブランチ内で以前のリリースを実行しているインストールは、関連する修正を適用しない限り脆弱なままです。公式にサポートされていない古いPHPバージョンには特に注意が必要ですが、一部のOSベンダーはセキュリティバックポートを提供しています。管理者は、表示されているPHPバージョン番号にのみ頼るのではなく、インストール済みパッケージとベンダーのアドバイザリーを確認する必要があります。この確認は、マネージドホスティングサービスや、別個のセキュリティ保守スケジュールを持つOSパッケージを使用しているウェブサイトにとって特に重要です。
PHPプロジェクトは、この2つの深刻な脆弱性に対する完全な対策はセキュリティパッチのインストールのみであると強調しています。ウェブサイト運営者は、サーバー設定を見直し、影響を受けた依存関係を更新し、異常な活動のためのシステムログを確認し、セキュリティパッチが正常に適用されたことを確認すべきです。仮想通貨関連サービスにとって、これらの対策は特に重要です。なぜなら、脆弱なウェブサイトインフラは、不正なウォレットのプロンプトを配信したり、ユーザーを悪意のある取引に誘導するために利用される可能性があるからです。パッチが適用されたサーバー環境を維持し、不正な変更を監視し、アクセス制御を強化することで、さらなるセキュリティインシデントのリスクを軽減できます。仮想通貨利用者も、ウェブサイトのアドレスを確認し、ウォレットの署名リクエストを慎重に検証すべきです。インフラのセキュリティだけでは、すべての取引関連詐欺を防ぐことはできないからです。
PHP2Shellの脆弱性は、攻撃者がウェブサイトを侵害し、ウォレットの操作を操作し、機密なプラットフォームデータにアクセスする可能性があるため、仮想通貨ユーザーにセキュリティリスクをもたらします。これらの欠陥はブロックチェーンネットワークではなくPHPベースのウェブサーバーを標的としていますが、成功した攻撃はフィッシング、不正な取引、関連サービスへの不正アクセスの機会を生み出す可能性があります。ユーザーがデジタル資産の管理、スマートコントラクトの承認、または金融アプリケーションとのやり取りに侵害されたウェブインターフェースに依存している場合、仮想通貨ウォレットおよび分散型金融（DeFi）プラットフォームは特にリスクにさらされます。
悪用された暗号通貨ウェブサイトがウォレット利用者を攻撃にさらす方法
PHP2Shellを成功裏に悪用した攻撃者は、脆弱なウェブサイトのサーバー環境内で悪意のあるコードを実行できるようになります。アクセス権限に応じて、ウェブサイトのコンテンツを変更したり、悪意のあるJavaScriptを注入したり、正当な仮想通貨サービスを模倣するように設計された不正なページに訪問者をリダイレクトすることが可能です。たとえば、侵害されたプラットフォームは、偽のウォレット認証リクエストを表示したり、ユーザーに不明な取引の承認を促すことがあります。これらの脅威は、悪意のあるコンテンツが明らかにフィッシングドメインではなく、正当なウェブサイトに表示される場合、特定が特に困難です。ただし、サーバーの侵害だけでは、攻撃者がユーザーのウォレットや秘密鍵に自動的にアクセスできるわけではありません。
Web3ウォレットアプリを通じて、ユーザーが不正なウォレットプロンプトとやり取りすると、より深刻なリスクが発生します。攻撃者は悪意のあるトランザクション署名の取得、過剰なトークン支出権限の要求、またはユーザーをだまして機密な復元情報を開示させようとする可能性があります。DeFiでは、トークン承認は、設定された限度額内で特定のスマートコントラクトまたはアドレスが一定の資産を振替することを許可します。一方、ウォレット接続は、アプリが口座情報へのアクセスを要求し、トランザクションリクエストを開始することを許可する一般的なものです。これらの権限には異なるセキュリティ上の影響があり、ウォレットを接続するだけでは資産の振替は許可されません。この違いを理解することで、ユーザーは、疑わしい署名リクエストや無制限のトークン許可が、標準的なウォレット接続よりもはるかに危険であることを認識できるようになります。
DeFiプラットフォームおよび仮想通貨インフラのセキュリティリスク
DeFiプラットフォーム、仮想通貨支払いサービス、デジタル資産アプリケーションは、その基盤となるインフラが脆弱なPHPコンポーネントに依存している場合、間接的なリスクにさらされる可能性があります。プロトコルのスマートコントラクトが安全であっても、 compromisされたウェブサイト、APIサービス、または口座管理システムが、ユーザーがブロックチェーンベースの機能にアクセスする方法に干渉する可能性があります。攻撃者は、取得した権限に応じて、表示される入金アドレスを操作したり、トランザクションの指示を変更したり、アクセス可能なサーバー環境に保存された認証情報を盗んだりする可能性があります。CloudflareはPHP2Shellを標的とした悪意のあるトラフィックを記録しており、この基礎となるサーバーの脆弱性が実際の攻撃の対象となっていることを示していますが、これらの観察結果は広範な仮想通貨の盗難を示すものではありません。もう一つ重要な点は、ウォレットをDeFiアプリケーションから切断しても、以前に付与されたトークンの承認が取り消されるわけではないということです。これらの承認は、変更または取り消されるまでブロックチェーン上に記録されたままです。したがって、仮想通貨ユーザーを保護するには、スマートコントラクトのセキュリティにのみ頼るのではなく、ウェブサイトのインフラとオンチェーンの権限の両方に注意を払う必要があります。
米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、PHP2Shellの脆弱性を既知の悪用脆弱性（KEV）カタログに追加することで、これらの脆弱性が実際に悪用されていることを確認しました。この指定は、攻撃者が現実の環境でこれらの欠陥を悪用していることを示しており、インターネットに接続されたサービスや仮想通貨インフラのセキュリティに対する懸念を高めています。一方、ImmunefiのCEOであるミッチェル・アマドールは、人工知能が脆弱性の発見を加速し、セキュリティ上の弱点の特定、調査、修正に苦戦している組織にとってさらに大きな課題を生み出す可能性があると警告しています。これらの動向は、新興するサイバー脅威の速さとそれに対処するためのリソースの間で広がるギャップを浮き彫りにしています。
CISAのアクティブな悪用警告がWebインフラのセキュリティに関する懸念を高める
CISAがPHP2Shellを積極的に悪用されていると分類したのは、広範なスキャン活動や脆弱なシステムの攻撃試みに関する報告を受けたためである。セキュリティ研究者は、意図的に公開されたホニープットサーバーに対してリモートコード実行が成功したことを文書化し、この脅威が理論的な攻撃シナリオを超えて実際の攻撃に進展していることを裏付けた。CloudflareのCEOであるマシュー・プリンスは、脆弱性が公表されてから24時間以内に数百万回の攻撃試みが行われたと報告している。しかし、悪意のあるトラフィックの量だけでは、どの程度の攻撃が成功したか、あるいは仮想通貨プラットフォームが関連する財務的損失を被ったかを示すことはできない。自動スキャン、確認されたサーバーの侵害、確認された資産の盗難は、それぞれ異なるレベルのセキュリティへの影響を意味するため、この区別は重要である。
KEV指定は、組織が露出しているインフラを評価し、潜在的な不正侵入を調査する圧力を高めています。CISAは、対象となる米国連邦民間機関に対し、指定された期限内にリストされた脆弱性に対処することを要求し、他の組織に対しても同様の脅威を優先することを奨励しています。サイバーセキュリティチームは、侵入の初期原因を特定する際、正当なアプリケーションのアクティビティと疑わしいサーバーの挙動を区別しなければなりません。Palo Alto NetworksのUnit 42は、報告された侵入が特定のPHPの脆弱性に起因するかどうかを確認できなかったため、以前の帰属を撤回しました。これは、広範なサイバーセキュリティへの影響を評価する際に、検証済みの攻撃証拠と正確なインシデント帰属が不可欠であることを示しています。
ImmunefiのCEO、AIがセキュリティチームの対応を上回る速さでサイバー攻撃を加速する可能性を警告
Web3セキュリティプラットフォームImmunefiのCEOであるミッチェル・アマドールは、ますます高度化するAIシステムが、脆弱性の発見を迅速かつ低コストにしながらも、対応がリソースを消費し続けることにより、サイバーセキュリティの経済構造を変化させていると警告しています。彼は、管理者が緊急アップデートの展開と検証に数週間を要するため、小規模なウェブサイトが特に脆弱であると主張しています。これにより、運用者がセキュリティ対応を完了する前に、攻撃者が多数のオンラインサービスで弱点を特定する可能性のある時間的余裕が生じます。仮想通貨業界においては、この懸念は個々のウェブサイトにとどまらず、デジタル資産取引を支える相互接続されたインフラ、サードパーティ統合、およびサービス全体に及びます。アマドールの警告は、今後の攻撃件数の確実な予測ではなく、新たに浮上するサイバーセキュリティのトレンドに対する彼の評価を反映しています。
PHP財団は、限られたエンジニアリングリソースと複雑な技術的判断により、以前から識別されていたセキュリティ上の脆弱性の対応が遅れたことを認めた。同財団の開示内容は、AI支援による研究が防御型セキュリティ運用をどのように変革しているかも示している。具体的には、ツールが研究者による脆弱性の発見、技術的発見の検証、および同じ根本原因を共有するレポートの特定を支援している。しかし、これらのシステムは不正確な結果や重複した発見を生み出す可能性があり、経験豊富なエンジニアがどの課題に対応が必要か、そして修正を安全に実装する方法を判断する責任を負うことになる。したがって、仮想通貨セキュリティが直面するより広範な課題は、より強力なAIツールの可用性ではなく、セキュリティチームが迅速な脆弱性発見を効果的な対応と一致させられるかどうかである。AI支援によるサイバーセキュリティ研究が進展するにつれ、継続的なセキュリティ投資、協調的な脆弱性開示、そして強化されたインシデント対応能力がますます重要になっていく。
PHPのセキュリティ脅威から仮想通貨ウォレットを守るには、安全な閲覧習慣、取引の慎重な確認、および効果的な秘密鍵管理が必要です。PHP2Shellは主にWebインフラを標的としているため、個人ユーザーは脆弱なサーバーを自力で修正することはできませんが、悪意のあるウェブサイトや不正なウォレット要求への暴露を減らすことは可能です。強力な仮想通貨セキュリティは、フィッシング対策、スマートコントラクトの権限管理、安全な資産保管、そしてタイムリーなソフトウェア更新を組み合わせたものです。これらの対策は、PHPの脆弱性を超えた広範なサイバー脅威に対しても保護を提供します。
暗号通貨ウェブサイトの確認と怪しいウォレット接続リクエスト
仮想通貨利用者は、メッセージ、広告、またはソーシャルメディアを通じて共有された不慣れなリンクではなく、確認済みのウェブサイトアドレスを通じてDeFiアプリケーションやデジタル資産サービスにアクセスすべきです。ドメイン名を確認し、公式プロジェクトのアナウンスを確認し、ブラウザとウォレット拡張機能を最新の状態に保つことで、潜在的なフィッシングサイト詐欺を特定できます。ただし、有効なHTTPS証明書があっても、攻撃者がその基盤となるインフラを侵害している場合、ウェブサイトが安全であるとは限りません。ユーザーは、予期しないウォレット認証リクエスト、不慣れな取引プロンプト、緊急のセキュリティ警告に注意を払うべきです。ウォレットのセキュリティアラートや取引シミュレーションは、疑わしいやり取りを特定することで追加の保護を提供できますが、自動検出システムはすべての悪意のあるリクエストを識別できるわけではありません。
スマートコントラクトの承認を確認し、トークンの支出許可を制限してください
スマートコントラクトの承認を管理することは、分散型取引所、貸し出しプロトコル、その他のDeFiアプリケーションとのやり取り時に仮想通貨ウォレットのリスクを軽減するために不可欠です。トークンの許可額は、承認された支出者が特定の資産をどれだけ振替できるかを決定するため、関連するコントラクトや支出者が侵害された場合、無制限の許可は潜在的に危険です。ユーザーは、対応するウォレットインターフェースやブロックチェーンエクスプローラーを通じて既存の許可を確認し、不要な許可をオンチェーントランザクションを送信することで取り消すことができます。悪意のあるトークン承認の詐欺の例は、プライベートキーを明かさなくても、欺瞞的な承認リクエストが資産を暴露する方法を示しています。取り消しには通常ネットワーク手数料が必要であり、取り消された許可に基づく今後の振替を防ぎますが、既に完了したトランザクションを元に戻すことはできません。ユーザーは、トークン許可承認を含むオフチェーン署名リクエストも確認すべきです。一部の署名は、即時のオンチェーン承認トランザクションなしに支出権限を付与する可能性があるためです。
秘密鍵を保護し、暗号通貨ウォレットの保存セキュリティを強化
秘密鍵とウォレットの復元用フレーズは、これらを入手した者が関連する仮想通貨資産を制御できるため、機密に保つ必要があります。復元情報をオフラインで安全に保管し、信頼できるウォレットアプリケーションを使用し、利用可能な口座セキュリティ機能を有効にすることで、認証情報の盗難リスクを軽減できます。ハードウェアウォレットは、秘密鍵をインターネットに接続されたコンピューターに直接露出させず、専用デバイス内に保持することで、追加のセキュリティ層を提供します。コールドストレージを理解することで、オフラインでの鍵管理とインターネット接続型ウォレットとの違い、および両者が異なる目的を持つ理由が明確になります。ただし、ユーザーが意図的に悪意のあるトランザクションを承認したり、危険なスマートコントラクトの権限を許可したりした場合、ハードウェアウォレットは損失を防ぐことはできません。長期的な仮想通貨保管には、DeFi活動に頻繁に使用するウォレットから大口の保有資産を分離することで、潜在的に有害なやり取り時に露出する数量を制限できます。
疑わしいウォレットの侵害に対応し、新興のサイバー脅威に備える
ユーザーが仮想通貨ウェブサイトが侵害されたと疑う場合、そのサイトとのやり取りを停止し、保留中の取引リクエストを拒否し、信頼できるブロックチェーンエクスプローラーを通じて最近のウォレットの活動を確認すべきです。疑わしいトークンの承認は見直し、適切な場合は取り消す必要があります。一方、プライベートキーまたはリカバリーフレーズが実際に漏洩した場合は、残高を新たに作成した安全なウォレットに移転する必要があります。権限の取り消しでは漏洩したプライベートキーのセキュリティを回復できないため、署名資格情報が侵害された場合はウォレットの交換が不可欠です。仮想通貨プラットフォームは、これらのユーザーの注意喚起に加えて、継続的な脆弱性監視、安全なソフトウェアの保守、独立したセキュリティ評価、およびテスト済みのインシデント対応手順を補完する必要があります。AI支援による脆弱性発見が進む中で、積極的なサイバーセキュリティ対策と強化された取引検証を組み合わせることが、新興するデジタル資産のセキュリティリスクを軽減するために引き続き重要です。
PHP2Shellのセキュリティ脆弱性は、広く使用されているWebインフラの弱点が仮想通貨ウォレット、DeFiプラットフォーム、デジタル資産サービスに間接的なリスクをもたらす可能性を示しています。緊急のPHPパッチは利用可能ですが、CISAが既に悪用されていることを確認したことで、迅速な対応が依然として重要であることが明らかになりました。これらの脅威はサーバーの侵害にとどまらず、不正なウォレットとのやり取り、許可されていないトークン承認、機密プラットフォーム情報の漏洩にも及ぶ可能性があります。しかし、PHP脆弱性の悪用が確認されたからといって、仮想通貨の盗難が確認されたわけではありません。仮想通貨利用者にとって、ウォレットのセキュリティは技術的な対策と慎重な取引承認の両方に依存します。ウェブサイトの確認、スマートコントラクトの権限監視、秘密鍵の保護、安全な保存手法の実践により、悪意ある活動への暴露を減らすことができます。一方で、仮想通貨プラットフォームは、AI支援型セキュリティ研究が進化し続ける中で、インフラの保守強化、脆弱性監視、インシデント対応を強化する必要があります。中心的な教訓は、デジタル資産を保護するには、ブロックチェーンとのやり取りだけでなく、ユーザーがアクセスするWebサービスのセキュリティも確保する必要があるということです。
PHP2Shellの脆弱性は、仮想通貨ウォレットを直接攻撃できますか？
PHP2Shellの脆弱性は、仮想通貨ウォレットソフトウェアやブロックチェーンプロトコルではなく、PHPベースのWebサーバーに影響を与えます。しかし、攻撃者がウェブサイトを乗っ取ると、そのインターフェースを操作してユーザーを欺き、悪意のあるトランザクションを承認させることができます。実際のリスクは、影響を受けたサービス、攻撃者のアクセス権限、およびユーザーのその後の操作に依存します。
仮想通貨資産は、ウォレットの秘密鍵を公開せずに盗まれる可能性がありますか？
はい。攻撃者は、ユーザーの秘密鍵を取得することなく、悪意のあるトランザクションに署名させたり、トークンの支出権限を付与させたりすることで仮想通貨を盗む可能性があります。一部のオフチェーン署名は、資産の振替を許可することもできます。ただし、これらの結果には、PHPの脆弱性自体を超える追加の悪意ある行動が必要です。
ユーザーは、暗号資産プラットフォームがPHP2Shellのパッチを適用したかどうかをどのように確認できますか？
一般のユーザーは、ブラウザを通じてプラットフォームのサーバー側PHPバージョンを確認することはできません。関連するアップデートが適用されたことを確認するには、公式のセキュリティアナウンスメント、メンテナンス通知、およびインシデント開示を確認してください。ウェブサイトが正常に機能していることやHTTPSが表示されていることだけでは、そのインフラが安全であることを独立して証明することはできません。
WebアプリケーションファイアウォールはPHP2Shell攻撃を完全に防ぐことができますか？
Webアプリケーションファイアウォール（WAF）は、既知の悪意のあるリクエストパターンを検出してブロックすることで、露出を削減できます。CloudflareやAWSなどのセキュリティプロバイダーは、PHP2Shellの悪用をターゲットにした保護機能を導入しています。ただし、ファイアウォールルールではすべての攻撃変種を特定できないため、元の脆弱性の完全な修正にはサーバーサイドのセキュリティパッチが不可欠です。
PHPの脆弱性は仮想通貨支払いゲートウェイやブロックチェーンAPIに影響を与える可能性がありますか？
はい。仮想通貨決済ゲートウェイおよびブロックチェーン接続APIは、そのサポートインフラが脆弱なPHPコンポーネントを使用している場合、セキュリティリスクにさらされる可能性があります。サーバーの成功した攻撃は、認証資格情報を漏洩させたり、決済処理を妨害したり、接続されたアプリケーションに提供される情報を操作したりする可能性があります。その結果は、サービスが機密操作を分離し、アクセス権限を管理する方法に依存します。
スマートコントラクトのセキュリティ監査はPHP2Shellの脆弱性を検出できますか？
必ずしもそうではありません。スマートコントラクトの監査は、主にトランザクション実行、権限、資産管理に関連するブロックチェーンベースのコードの脆弱性を検査します。PHP2Shellはオフチェーンのサーバーインフラに影響を与えるため、通常、別途アプリケーションセキュリティテスト、依存関係評価、インフラレビューが必要です。したがって、プロトコルは監査済みのスマートコントラクトを有しながらも、脆弱なウェブサイトを運用し続けることができます。
免責事項：本市場情報は、第三者、商業的、またはスポンサー提供の可能性があり、参考および教育目的でのみ提供され、金融または投資アドバイス、勧誘、保証を構成するものではありません。その正確性、完全性、信頼性および由此する損失について、当社は一切責任を負いません。投資および取引にはリスクが伴います。過去のパフォーマンスは将来の結果を保証しません。ユーザーは自ら調査し、慎重に判断し、すべての責任を負うものとします。詳細については、KuCoinの利用規約およびリスク開示をご確認ください。
免責事項: このページは、お客様の便宜のためにAI技術を使用して翻訳されています。最も正確な情報については、元の英語版を参照してください。