「PHP2Shell」と呼ばれる2件の深刻な脆弱性を巡り、暗号資産業界で警戒が広がっている。PHP開発者は10月21日、緊急パッチを公開した。脆弱性の深刻度は10段階で9.2と評価されており、攻撃者はパスワードなしで影響を受けるサーバーにアクセスし、機密情報を盗み出したり、ウェブサイトをさらに制御したりする可能性がある。
影響は暗号資産業界に限られない。Cloudflareは、顧客を対象にした脆弱性の悪用がすでに試みられていることを確認しており、欧州の一部政府サイトも予防措置として一時閉鎖された。アカウントのログイン、決済リクエスト、管理画面の処理をPHPに依存する暗号資産サービスでは、パッチ適用までの時間がサーバーの露出期間を左右する。
PHPのメモリ処理が攻撃の入口に
PHPは、多くのウェブサイトでサーバー側のリクエスト処理に使われている。ユーザーがアカウントにログインしたり、決済を送信したり、サイトの機能を呼び出したりする際、PHPが関連データの処理を担うことが多い。研究者は、攻撃者がPHPによるコンピューターのメモリ処理を操作し、本来保護されている情報にアクセスできる可能性を指摘している。
Wiz Researchによると、脆弱性の悪用に成功した場合、攻撃者はパスワード、認証トークン、APIキーを取得できる可能性がある。こうしたデジタル認証情報はウェブサイトのアカウントに紐づくだけでなく、接続された第三者サービスへのアクセスに使われることもある。デジタル資産を管理したり、暗号資産決済を処理したりするサイトでは、認証情報の流出が被害範囲を広げる可能性がある。
暗号資産決済ゲートウェイと小規模取引所を点検
現時点で、比較的高い露出リスクがあるとみられるサービスは主に3種類に分けられる。
1つ目は暗号資産決済ゲートウェイだ。PHPベースの決済連携、特にWooCommerceとの接続を利用する加盟店では、サーバーが更新されていない場合にリスクが生じる可能性がある。Binance Pay、Crypto.com Pay、BitPay、CoinGate、CoinPaymentsについては、WooCommerceとの連携を提供していることを示す公開記録がある。ただし、こうした連携記録だけで各社の基盤に脆弱性が存在すると判断することはできない。
2つ目は小規模な暗号資産取引所だ。アカウント画面や決済システムが影響を受けるPHP環境で稼働している場合、サーバーへの侵入によって顧客情報や機密認証情報が流出する可能性がある。大手サービスはより整備された分離構成やパッチ適用手順を備えているケースが多い一方、小規模事業者は、ウェブサイト、管理画面、第三者製プラグインで影響を受けるバージョンが使われていないかを優先的に確認する必要がある。
3つ目はDeFiやウォレットのウェブサイトだ。サイトの画面が改ざんされれば、攻撃者がユーザーを偽のウォレットアドレスへ誘導したり、悪意のある取引の承認を促したりする可能性がある。ただし、これらの決済サービスや主要取引所がPHP2Shellによって侵害されたことを示す検証済みの証拠は、現時点で確認されていない。
ブロックチェーン本体とオフライン秘密鍵は直接の対象外
PHP2Shellによるリスクと、ブロックチェーンの基盤や資産そのものの安全性は分けて考える必要がある。この脆弱性が直接狙うのはPHPで動作するウェブサイトのサーバーであり、ブロックチェーンネットワークやスマートコントラクト自体、オフラインのハードウェアウォレットに安全に保管された秘密鍵を直接侵害するものではない。
同様に、暗号資産決済サービスがPHPやWooCommerceとの連携機能を備えているからといって、その企業の中核取引システムが攻撃を受けたと判断することもできない。実際のリスクは、対象サーバーが影響を受けるバージョンを使っているか、パッチが適用済みか、アカウントシステム、決済インターフェース、管理機能が相互に分離されているかによって変わる。
大手取引所でも、速やかにパッチを適用している場合や、重要な基盤を脆弱性のあるウェブサービスから分離している場合は、露出が相対的に抑えられる可能性がある。Krakenは、中核バックエンドについて2025年にPHPからRustへの移行を完了したと説明している。このため、同社の中核バックエンドと今回の脆弱性との直接的な関係は、ウェブサイトの技術情報だけでなく、実際の導入環境を踏まえて判断する必要がある。
取引所サーバーの修正はユーザー側ではできない
PHPのセキュリティ修正は、ウェブサイト運営者、決済サービス事業者、またはホスティング基盤の提供者が実施する必要がある。一般のユーザーが取引所のサーバーに直接パッチをインストールすることはできない。ユーザー側でできる対応は、サービス運営者が安全性に関する更新情報を公表しているか確認し、不審なログイン通知、パスワード再設定通知、ウォレットアドレス変更の案内を慎重に扱うことだ。疑わしいウェブページで取引所のパスワードやAPIキーを入力したり、身に覚えのない取引を承認したりすることも避ける必要がある。
現時点で確認されているのは、PHP開発者が2件の脆弱性に対する緊急修正を公開したこと、Cloudflareが顧客を対象にした悪用の試みを確認したこと、そして欧州の一部政府サイトが一時閉鎖の措置を取ったことだ。個別の暗号資産取引所、決済ゲートウェイ、ウォレットサイトが影響を受けているかどうかは、サーバーのバージョン、パッチの適用状況、ネットワークの分離対策によって決まる。PHP連携を利用しているという事実だけでは、被害の有無は判断できない。