SlowMistのPHP脆弱性レポート：Web3のオフチェーンインフラに影響、プロジェクト側は直ちに最新版へアップグレードすべき

BlockBeatsのニュース、10月23日、SlowMistセキュリティチームがPHPの高危険度脆弱性に関する詳細分析レポートを発表し、PHPで最近公開された2つの高危険度脆弱性がWeb3業界の「オフチェーン部分」に対して系統的なリスクをもたらしていると述べた。脆弱性番号はCVE-2026-109618およびCVE-2026-109619で、CVSS v4.0スコアはともに9.2点に達し、深刻レベルに属する。攻撃者はアカウントやパスワード、APIキーを必要とせず、公開ネットワークに露出したPHPサービスに細工したリクエストを送信するだけで、Webサービスプロセスの権限で任意のコードを実行できる可能性がある。

SlowMistによると、この脆弱性はPHP 5.4から8.5.11までのすべてのバージョンに影響し、脆弱性の詳細は公式パッチのリリース前にすでに漏洩しており、Amazon脅威インテリジェンスチームは公開開示の4日前に実際の悪用試行を観測していた。SlowMist脅威インテリジェンスシステムMistEyeのスキャンによると、統計対象の暗号関連ドメイン1488件のうち、793件が直接的なPHPフィンガープリントを持ち、割合は約53.3%に達した。これは、多数のWeb3プロジェクトのフロントエンドページ、APIインターフェース、エアドロップ受取ページ、運用バックエンド、カストディアルウォレットサービスなどのオフチェーン施設が、影響を受けるPHP環境上で稼働している可能性があることを意味する。

SlowMistは特に、Web3セキュリティはオンチェーンコントラクトだけに注目してはならないと注意を促した。攻撃者がPHP脆弱性を利用してプロジェクトのWebサイトサーバーを侵害した場合、フロントエンドページを改ざんしてユーザーに悪意のある取引への署名を誘導し、資産を直接盗取することができる。オンチェーンコントラクトに脆弱性がなくても、コントラクトを取り巻くオフチェーン部分が安全であることを意味しない。

修正面では、公式はPHP 8.5.12、8.4.27、8.3.36、8.2.35バージョンをリリース済みであり、関連プロジェクトは直ちにアップグレードすべきである。PHP 8.1およびそれ以前のバージョンは上流の通常サポートが終了しているため、できるだけ早く移行すべきである。SlowMistは同時に、直ちにアップグレードできない場合の一時的な緩和策は特定の攻撃経路のリスクを低減するのみであり、パッチの適用が依然として根本的な解決策であると注意を促した。