PHPの深刻な脆弱性が暗号資産取引所と決済サイトに警告を呼び起こす

何百万ものウェブサイトに影響する重大なセキュリティリスクが、暗号資産ユーザー、特に小規模な取引所や暗号資産決済プロセッサーの顧客を不安にさせています。

10月21日水曜日、PHP開発者は、総称して「PHP2Shell」と呼ばれる2つの脆弱性に対する緊急修正をリリースしました。重大度スコアは10点中9.2です。

このバグにより、攻撃者はパスワードなしで脆弱なサーバーにアクセスし、機密データを盗んだり、ウェブサイトを乗っ取ったりすることさえ可能になります。

この状況は早急な対応を必要としています。Cloudflareは、自社の顧客がすでにこれらの脆弱性を悪用する試みの標的になっていることを確認しました。

安全対策として、いくつかの欧州政府のウェブサイトも一時的にオフラインにされました。

疑い深いと思われるかもしれませんが、数日中はどんなウェブサイトを訪れる際にも特に注意してください。一部のウェブ管理者がセキュリティパッチを常に適用しているとは限らないからです。

ウェブプログラミング言語であるPHPについて2つの脆弱性（CVE-2026-109618およびCVE-2026-109619）が報告されており、サーバーに影響を及ぼしています…

— CZ 🔶 BNB (@cz_binance) 2026年10月21日

どの暗号資産プラットフォームが最もリスクが高いのか？

PHPは、ウェブサイトが情報を処理するために依存するバックグラウンドソフトウェアです。ユーザーがアカウントにログインするか支払いを完了すると、PHPはそのリクエストに対するサーバーの応答の一部になることがあります。

研究者らは、攻撃者がPHPのコンピュータメモリの管理方法に影響を与える方法を発見しました。これにより、サイトが非公開に保つことを意図していたデータに到達できる可能性があります。

Wiz Researchによると、攻撃が成功すると、パスワード、認証トークン、APIキーが明らかになる可能性があります。これらは、アカウントや関連サービスを解放する可能性があるデジタル認証情報です。

暗号資産ビジネスにとって、その影響は深刻になり得ます。

当社の分析では、特に露出リスクが高い3つのカテゴリが際立っています。

• 暗号資産決済ゲートウェイ：PHPに依存する決済システムを利用する加盟店は、サーバーにパッチが適用されていない場合、重大なリスクに直面する可能性があります。Binance Pay、Crypto.com Pay、BitPay、CoinGate、CoinPayments向けのWooCommerce統合が文書化されています。
• 小規模な暗号資産取引所：PHPベースのアカウントポータルや決済システムを運営する事業者は、ハッカーがそれらのサービスに侵入した場合、顧客情報や機密の認証情報を危険にさらす可能性があります。
• DeFiおよびウォレットウェブサイト：攻撃者は、脆弱なウェブインターフェースを改ざんして偽のウォレットアドレスを表示したり、ユーザーをだまして悪意のある取引を承認させたりする可能性があります。

SlowMistの脅威インテリジェンスシステム「MistEye」は、暗号資産業界全体のPHP関連アセットのグローバルスキャンを実施しました。

当社はすべてのプラットフォーム、DeFiプロジェクト、ウォレットプロバイダー、その他の関係者に対し、潜在的なリスクを評価し、公式のパッチ適用済みバージョンにアップグレードするよう要請します…

— SlowMist (@SlowMist_Team) 2026年10月21日

これらはあくまで潜在的な露出の評価にすぎないことを強調しておきます。上記の決済プロバイダーや大手取引所がPHP2Shellを通じて侵害されたという確認済みの証拠はありません。

加盟店向けの組み込み統合は、それ自体では自社システムが脆弱であることを示すものではありません。

適切にパッチが適用された、または分離されたインフラは、大手取引所の露出を抑えます。例えばKrakenは、2025年に中核バックエンドをPHPからRustへの切り替えを完了したと述べています。

ブロックチェーンネットワーク、スマートコントラクト、オフラインのハードウェアウォレットで保護された秘密鍵は、これらのPHP脆弱性によって直接さらされることはありません。

暗号資産ユーザーは今、何をすべきか？

ユーザー自身がPHPのセキュリティパッチを適用することはできません。その責任はウェブサイト運営者にあります。それでも、いくつかの手順で潜在的な損失を抑えることができます。

• 取引所からの公式なセキュリティ更新に注意し、そのウェブシステムがパッチ適用済みであるとの確認を求めてください。
• 強力な二要素認証またはパスキーを有効にしてください。出金アドレスの許可リストが提供されている場合は、それを利用してください。
• 支払いアドレスを再確認してください。暗号資産を送信する前に、特に不慣れな決済サイトでは、信頼できるチャネルを通じて送信先を確認してください。
• 緊急のセキュリティ警告には疑いの目を持つこと。ハッカーはこの問題への注目を利用して、偽のログインページや悪意のあるウォレット接続プロンプトを広める可能性があります。

すべての暗号資産取引所が侵害されていると想定したり、すぐに資金を引き出したりする必要はありません。

重要なのは、各プラットフォームが露出しているPHPサービスを保護しているかどうかです。パッチ適用が確認されるまで、暗号資産の支払いを処理するサイトでは特に注意が必要です。