PHPのセキュリティー欠陥で各国政府サイトが一時停止、暗号資産業界も点検

ウェブサイト開発に使われるプログラミング言語「PHP」で、外部の攻撃者がサーバーを遠隔操作できるセキュリティー上の脆弱性が明らかになった。各国政府はパッチの適用や点検のため、一部のウェブサービスを一時停止した。暗号資産企業も自社システムがさらされていないか確認を進めた。

10月22日付のコインテレグラフによると、PHP財団は緊急パッチ配布後、脆弱性対応が遅れた経緯を公表した。財団は、セキュリティーチームの意思決定の過程やリソース不足により、数カ月にわたってパッチ作業が繰り返し中断したと説明した。そのうえで、今回の遅れは「構造的な失敗だった」と認めた。

問題となったのは、認証を経ていない攻撃者でもサーバー上で任意のコードを実行できる欠陥2件だ。財団は2024年に関連する兆候を把握していたが、既存のPHPエコシステムに与える影響を見極めるなかで対応が遅れた。2026年8月には、セキュリティー企業のCalifとオープンAI（OpenAI）がそれぞれ脆弱性を報告し、実際に攻撃が可能だと実証したことで、対応の優先順位が高まった。

政府機関によるサービス停止は、攻撃被害が確認されたためではなく、予防措置として実施した。オランダのデジタル本人確認サービスと国家サイバーセキュリティセンターのウェブサイト、フィンランド政府の公共ウェブサービスが一時的に停止した。フランスとドイツも一部の政府ウェブサイトの運営を止めた。

暗号資産業界では、コインベース（Coinbase）とビットゴー（BitGo）が点検結果を公表した。コインベースのジェフ・ルングルホファー最高セキュリティ責任者（CSO）は、脆弱性の情報を把握した直後に全数点検を実施し、外部に露出したPHPインスタンスは見つからなかったと明らかにした。ビットゴーも、自社プラットフォームに影響はなかったとした。

バイナンスの共同創業者、チャンポン・ジャオ氏は、まだパッチを適用していないウェブサイトが残っている可能性があると指摘し、今後数日間はウェブサイトの閲覧に注意するよう呼びかけた。PHPセキュリティーチームは、公表時点までに実際の悪用事例は確認されていないと説明した。