PHPの2件の高危険度脆弱性はCVSSスコアがともに9.2に達し、SlowMistはWeb3プロジェクトに即時のアップグレードを推奨

Odaily星球日報によると、SlowMistセキュリティチームは報告書を発表し、PHPが最近公開したCVE-2026-109618とCVE-2026-109619の2件の高危険度脆弱性が、Web3業界のオフチェーンインフラにリスクをもたらしていると述べた。両脆弱性のCVSS v4.0スコアはともに9.2点であり、攻撃者はアカウントやパスワード、APIキーを必要とせず、公開ネットワークに露出したPHPサービスに細工したリクエストを送信するだけで、Webサービスプロセスの権限で任意のコードを実行できる可能性がある。

脆弱性はPHP 5.4から8.5.11までのすべてのバージョンに影響し、脆弱性の詳細は公式パッチのリリース前にすでに漏洩していた。Amazonの脅威インテリジェンスチームは、公開開示の4日前に実際の悪用試行を観測していた。SlowMistの脅威インテリジェンスシステムMistEyeのスキャンによると、統計対象の1488の暗号資産関連ドメインのうち、793が直接的なPHPフィンガープリントを持ち、割合は約53.3%に達した。

影響を受けるオフチェーン施設には、Web3プロジェクトのフロントエンドページ、APIインターフェース、エアドロップ受取ページ、運営バックエンド、カストディアルウォレットサービスなどが含まれる。攻撃者がPHP脆弱性を利用してプロジェクトのWebサイトサーバーを侵害した場合、フロントエンドページを改ざんしてユーザーに悪意のあるトランザクションへの署名を誘導し、資産を盗む可能性がある。

公式はPHP 8.5.12、8.4.27、8.3.36、8.2.35バージョンをすでにリリースしており、関連プロジェクトは対応する最新版にアップグレードすべきである。PHP 8.1以前のバージョンは上流の通常サポートが終了しているため、できるだけ早く移行する必要がある。即時のアップグレードができない場合の一時的な緩和策は特定の攻撃経路のリスクを低減するのみであり、パッチの適用が依然として根本的な解決策である。