バイナンス創設者CZが暗号通貨ユーザーにPHPの重大なセキュリティ脆弱性について警告

バイナンスの創設者であるチャンポン・ジャオは、世界中の何百万ものウェブサイトで使用されているプログラミング言語PHPにおいて2つの重大な脆弱性が発見された後、今後数日間にウェブサイトを訪れる際には特に注意を払うよう暗号通貨ユーザーに警告しました。

概要

• バイナンスの創設者チャンポン・ジャオは、2つの重大なPHPの脆弱性が発見されたことを受けて、暗号通貨ユーザーにウェブサイトを訪れる際の注意を呼びかけました。
• これらの脆弱性により、攻撃者は影響を受けたサーバー上で悪意のあるコードを実行できる可能性があります。これには、WordPressやMagentoなどの人気プラットフォームが含まれます。
• PHPの開発者は、脆弱性の詳細が計画された開示前に漏洩した後、10月21日に緊急のセキュリティパッチをリリースしました。
• セキュリティ研究者は悪用の試みを検出しましたが、暗号通貨取引所やユーザーのウォレットに直接関連する確認された事件はありません。

10月22日の警告で、ジャオはCVE-2026-109618およびCVE-2026-109619として特定された2つのセキュリティ脆弱性を指摘しました。これにより、攻撃者は認証なしで脆弱なウェブサーバー上で悪意のあるコードを実行できる可能性があります。

私を偏執的だと思っても構いませんが、今後数日間はどんなウェブサイトを訪れる際にも特に注意してください。一部のウェブ管理者はセキュリティパッチを常に最新の状態に保っているわけではありません。

PHPに報告された2つの脆弱性（CVE-2026-109618およびCVE-2026-109619）は、サーバーに影響を与えます... --- CZ 🔶 BNB (@cz_binance) 2026年10月21日

「私を偏執的だと思っても構いませんが、今後数日間はどんなウェブサイトを訪れる際にも特に注意してください」とジャオは書きました。これは、一部のウェブサイト管理者が最新のセキュリティパッチをインストールしていない可能性があるためです。

これらの脆弱性は、WordPress、Magento、Drupal、Joomlaなどの人気のあるコンテンツ管理およびeコマースプラットフォームをサポートするPHPインストールに影響を与えます。成功した悪用により、攻撃者はウェブサイトのインフラストラクチャを侵害したり、機密情報にアクセスしたり、訪問者に提供されるコンテンツを変更したりすることができます。

ジャオの警告はウェブサイトのユーザーに向けられていますが、根本的な脆弱性はサーバーに影響を与え、PHPベースのウェブサイトを訪れることが自動的に個人のデバイスや暗号通貨ウォレットを危険にさらすわけではありません。

PHPの脆弱性により攻撃者がリモートでコードを実行可能

PHP財団のセキュリティ開示によると、両方の脆弱性は10点満点中9.2の深刻度スコアを受けており、プログラミング言語のメモリ管理およびエラーハンドリングシステムの弱点に関係しています。

最初の脆弱性であるCVE-2026-109618は、PHPが特定の操作中に設定されたメモリ制限に達したときのメモリ破損に関係しています。特定の条件下では、サーバーが部分的に初期化されたデータを誤って処理し、攻撃者が不正なコードを実行できるようになります。

一方、CVE-2026-109619は、関連するメモリが解放された後もアクセス可能な内部メモリ参照に関係しています。研究者は、攻撃者がこの弱点を悪用して影響を受けたサーバー上で実行されているアプリケーションに対してコードを実行できることを示しました。

財団は、mod_phpを使用するApacheサーバーのデフォルト設定下で悪用が可能であることを確認しましたが、研究者はPHP-FPMを含む追加の攻撃経路も示しました。

開示後、開発者は10月21日にPHP 8.2.35、8.3.36、8.4.27および8.5.12のパッチ版をリリースしました。

公式のPHPアドバイザリーは、管理者に即座に更新するよう促し、一時的な保護ではリスクを完全に排除できないと警告しました。

古いPHPインストールは懸念事項であり、プロジェクトのサポートされているブランチ外のバージョンは、ホスティングプロバイダーやソフトウェアベンダーによって別途提供されるセキュリティ修正に依存する可能性があります。

緊急パッチがリリースされました

脆弱性に関する詳細は、PHPセキュリティチームが計画された開示プロセスを完了する前に流出し始めました。

財団によると、2つの脆弱性識別子が10月20日にオンラインフォーラムやソーシャルメディアに現れ、誤った重大度スコア10.0と不正確なリリーススケジュールが伴っていました。

最初のリークには技術的なエクスプロイト手順は含まれていませんでしたが、セキュリティ会社Califは誤っていくつかのターゲットに対する攻撃を示す概念実証ビデオを公開しました。

元のビデオが削除された後もコピーは流通し続け、研究者たちは追加のエクスプロイトデモを開発することになりました。

PHPチームは、その後、予定されていたセキュリティリリースを10月22日から10月21日に前倒しし、ソフトウェア配布業者が更新を準備する時間を確保しつつ、パッチが利用可能になるまでの技術情報の流通期間を短縮しました。

財団は、セキュリティ供給業者Chainguardが調整されたリリースの6時間以上前にパッチを適用したソフトウェアイメージを公開したことを批判し、攻撃者が公表前に変更を調査できる可能性があると指摘しました。

セキュリティ会社Cloudflareは、脆弱性が公表される前にファイアウォール保護を展開し、OpenAI、Wiz、その他の関与する組織の研究者と協力しました。

Cloudflareによれば、脆弱性は総称してPHP2Shellと呼ばれ、影響を受けたサーバーをリモートコード実行、サービスの中断、機密データの漏洩にさらす可能性があります。

脆弱なウェブサイトからリスクを抱える暗号通貨ユーザー

Zhaoの警告は、暗号通貨ユーザーが詐欺的なウェブサイトやウォレットの資格情報を求める欺瞞的なリクエストに依存するフィッシングキャンペーンに直面し続けている中で発表されました。

先週、crypto.newsは、攻撃者が正当なソフトウェアを偽装したページを通じてウォレット回復フレーズを収集しようとする偽のLedgerウェブサイトがGoogle検索結果に現れたと報告しました。

別の事件では、攻撃者がTrezorのフィッシングメールと侵害されたサードパーティのインフラを使用して、暗号通貨顧客に対して詐欺的なセキュリティメッセージを配布しました。

しかし、侵害されたPHPサーバーは、攻撃者がウェブサイトのコンテンツを変更したり、詐欺的なログインやウォレット接続リクエストを導入したりする可能性があるため、取得したアクセスに応じてリスクがあります。

報道時点では、新たに開示されたPHPの脆弱性に直接関連する暗号通貨取引所やユーザーウォレットに影響を与えるセキュリティインシデントの確認報告はありませんでした。

カナダサイバーセキュリティセンターは、インターネットに接続されたPHPアプリケーションを運営する組織に対し、脆弱なインストールを特定し、利用可能なセキュリティアップデートを直ちに適用するよう促しています。