数百万に及ぶウェブサイトに影響を及ぼす深刻なセキュリティ脅威が明らかになった。特に中小の暗号資産取引所や決済サービス利用者の間で懸念が高まっている。
10月21日水曜日、PHP開発者はPHP2Shellと呼ばれる2件の脆弱性に対して緊急パッチを公開した。深刻度は最大10点中9.2点と評価されている。
この脆弱性を突かれると、攻撃者がパスワードなしで脆弱なサーバーへアクセスし、機密情報の窃取やウェブサイトの乗っ取りが可能となるおそれがある。
警告は緊急性を帯びている。Cloudflareは、すでに攻撃者が同社の顧客を標的に脆弱性を突いた試みがあったことを確認した。
複数の欧州政府系ウェブサイトも、予防措置として一時的に閉鎖された。
どの暗号資産プラットフォームが最大のリスクに直面しているか
PHPは、ウェブサイトが裏側で情報処理を行う際に使用されるソフトウェアである。アカウントへのログインや決済時、サーバー側の処理をPHPが担う場合がある。
研究者は、攻撃者がPHPのメモリ処理方法を悪用して、本来ウェブサイトが保護すべき情報へアクセスできる可能性を指摘した。
Wiz Researchによると、攻撃が成功すれば、パスワードや認証トークン、APIキーが流出する危険がある。これらはアカウントや外部サービスへのアクセス権限となるデジタル資格情報である。
暗号資産プラットフォームにおいては、被害が深刻化する恐れもある。
本分析では、特にリスクが高い3つの分類を特定している。
- 暗号資産決済ゲートウェイ：PHPベースの決済連携を導入している加盟店は、サーバーがパッチ未適用の場合、重大なリスクに直面する。Binance Pay、Crypto.com Pay、BitPay、CoinGate、CoinPaymentsはいずれもWooCommerce連携実績がある。
- 中小規模の暗号資産取引所：PHPベースのアカウント管理や決済システムを運用するプラットフォームでは、これらが侵害された場合、顧客情報や機密資格情報の流出に発展しかねない。
- DeFi・ウォレット関連ウェブサイト：脆弱なウェブインターフェースは、不正なウォレットアドレス表示や悪意ある取引承認を誘発する仕掛けに改ざんされるリスクがある。
これらはいずれも、リスク評価に基づく想定である。名指しされた決済プロバイダーや大手取引所がPHP2Shellによって侵害された事実は現時点で確認されていない。
加盟店向けの連携サービスが直ちに各社インフラの脆弱性を意味するものではない。
大手取引所はインフラのパッチ適用や分離を適切に行えば、リスクを相当に低減できる。例えば、Krakenは2025年にPHPからRustへのバックエンド全面移行を完了したと発表している。
ブロックチェーンネットワークやスマートコントラクト、オフラインのハードウェアウォレット内に厳重保管された秘密鍵は、今回のPHP脆弱性による直接的な影響を受けない。
すべての暗号資産ユーザーが今取るべき対応は
PHPのセキュリティパッチはユーザー自身で適用できない。運用者の責任である。ただし、被害の最小化に向け、ユーザーにも取れる対策がある。
- 利用中の取引所公式によるセキュリティ告知を確認。ウェブインフラがパッチ済みか明記されているか確かめる。
- 2要素認証やパスキーの強化を実施。引き出しアドレスの許可リスト利用も推奨。
- 送金アドレスは慎重に確認。特に見慣れない決済サイト利用時は、信頼できる別経路から宛先を再確認する。
- 緊急と称するセキュリティメッセージには注意。偽ログインページや悪質なウォレット連携誘導が拡散される場合がある。
全ての暗号資産取引所が侵害された、あるいは即座の資金引き出しが必要と決めつける根拠はない。
当面の焦点は、プラットフォーム側がPHPサービスの安全確保を済ませているかどうかにある。パッチ適用が確認できるまで、暗号資産決済を扱うウェブサイト利用には特に慎重な対応が求められる。
