ブロックチェーンセキュリティ企業のSlowMistは、広く利用されているサーバーサイドプログラミング言語PHPで2件の重大な脆弱性が発見されたことを受け、世界中の暗号資産取引所、分散型金融(DeFi)プラットフォーム、ウォレット事業者に対する重大なセキュリティ警報を発出しました。PHPは全ウェブサイトの約70%を支えているとされる言語であり、これらの脆弱性により、攻撃者が脆弱なサーバー上でリモートからコードを実行できる可能性があります。PHPがウェブの大部分を支えているため、言語自体の弱点は、アプリケーション自体のコードの品質にかかわらず、その上に構築されたあらゆるアプリケーションに影響を及ぼす可能性があります。

SlowMistの声明によると、同社の脅威インテリジェンスシステム「MistEye」は、脆弱性の発覚後、暗号資産セクター全体のPHPベースのインフラに対するグローバルスキャンを実施しました。

CVE-2026-109618およびCVE-2026-109619として特定されたこの2件の脆弱性は、いずれもCVSS 4.0体系で10点満点中9.2のリスクスコアを付与されており、この評価は重大なセキュリティ脅威に分類されるものです。CVSSはセキュリティ業界で脆弱性の深刻度を評価するために用いられる標準化されたフレームワークであり、9.0以上のスコアは最も深刻なカテゴリに該当します。

認証なしでのコード実行

セキュリティ専門家によると、これらの脆弱性は特定の条件下において、攻撃者がいかなる認証も必要とせずに脆弱なサーバー上で悪意のあるコードを実行できる可能性があります。認証は、サーバーの機能に誰がアクセスできるかを制限する最初の防御壁であることが多く、これを回避できる脆弱性はとりわけ緊急性が高いとみなされます。特に、公共のインターネットに露出したシステムではその傾向が顕著です。

明らかになった技術的詳細によると、1件目の脆弱性はPHPがメモリ不足を処理する方法に起因し、2件目はサーバーリクエスト間で期限切れのメモリデータが使用される可能性に起因します。

これらの脆弱性が悪用に成功した場合攻撃者がサーバーインフラを侵害し、機密データにアクセスする恐れがあります。ユーザーアカウントや金融取引に関するサービスを提供する暗号資産プラットフォームでは、潜在的リスクがとりわけ高いと考えられています。この一件は、暗号資産セクターのセキュリティがブロックチェーンプロトコルにとどまらず、取引所、ウォレット、DeFiアプリケーションを支える従来型のウェブインフラにまで及ぶことを改めて浮き彫りにしています。

重大なセキュリティ更新プログラムがリリース

10月21日、PHP開発チームはこの2件のセキュリティ脆弱性に対処するため、バージョン8.5.12、8.4.27、8.3.36、8.2.35をリリースしました。これらのリリースはPHPのアクティブにメンテナンスされているすべてのバージョンブランチを対象としており、各サポート対象ブランチの運用者は対応する修正済みバージョンを利用できます。

SlowMistは暗号資産企業に対し、サーバーで稼働しているPHPバージョンを確認し、インターネットからアクセス可能なシステムを優先しつつ、セキュリティアップデートを速やかに適用するよう呼びかけています。

PHP開発者は、アクセス制限や一時的なセキュリティ対策のみに依存するのは不十分であり、包括的な保護のためには該当するパッチの適用が不可欠であると付け加えています。

*これは投資助言ではありません。