コインベースとビットゴーはPHPの脆弱性の影響はないと表明、バイナンスのCZ氏は注意を呼びかけました。

「偏執的だと言われるかもしれないが、今後数日間はどのウェブサイトにアクセスする際も細心の注意を払ってほしい。一部のウェブ管理者はセキュリティパッチを常に最新の状態に保っているとは限らないからだ」と、バイナンスの共同創業者チャンペン・ジャオ（CZ）氏は警告し、影響を受けたウェブサイトは「認証情報の盗難やデバイスへの悪用を招く媒介」になり得ると付け加えました。 バイナンス自体は、「公式パッチのリリースに先立ち、予防的な対策を講じ、必要な是正措置を完了した」と述べました。

更新するか、オフラインにするか

W3Techsによると、PHPはサーバーサイド言語が判明しているウェブサイトの約70％で用いられているプログラミング言語です。CERT-EUは、この脆弱性により攻撃者がログインすることなくサーバー上で任意のコードを実行できる可能性があると警告しました。 PHPチームは10月21日に修正プログラムを公開しました。しかし、各ウェブサイトの管理者がそれらをインストールする必要があるため、パッチを適用していないサイトは依然として攻撃の危険にさらされています。「直ちに更新することが不可能な場合、組織は問題が完全に解消されるまでシステムをオフラインにすることを推奨します」と、米国国家安全保障局（NSA）は警告しました。

「数百万件」に上る悪用試み

現時点では、この問題について公に言及しているのは一部の主要暗号資産事業者に限られます。PancakeswapやBitget Walletなどの一部企業はPHPを使用していないと説明した一方、Kaia ChainはPHPが自社のコアスタックの一部ではないと述べました。CoinbaseとBitgoは、この脆弱性への曝露は確認されていないと説明しました。

コインベースの最高セキュリティ責任者（CSO）であるジェフ・ルングホファー氏はXで「さらなる安全確保のため、サードパーティのサプライヤーとも連携を進めています」と述べました。現時点で、暗号資産企業への攻撃やユーザー資金の損失は報告されていませんが、攻撃者の活動はますます活発化しています。「この脆弱性が公表される前の10時間の間に、@Cloudflareネットワーク全体で、この脆弱性を悪用しようとする試みが数千件確認されました。公表後の45分間でその数は数万件に跳ね上がり、2時間以内に数十万件、そして現在は数百万件に達しています」と、大手クラウドサービスプロバイダーであるCloudflareのCEO、マシュー・プリンス氏は述べました。

過去の攻撃試行と小規模事業者の課題

企業が10月21日にPHPの脆弱性に対するパッチを適用したとしても、攻撃者がそれ以前にこの脆弱性を悪用していなかったとは限りません。例えば、Amazonは10月17日にさかのぼるPHP2Shellの悪用試みを検知しています。

「しかし、防御側は公開日が攻撃の最も早い時期であると決めつけてはならない」と、Amazon Integrated Securityの最高情報セキュリティ責任者（CISO）であるCJモーゼス氏は警告しました。ビットコインやその他の暗号資産を受け入れる加盟店を含む小規模な暗号資産サービス事業者は、別の問題に直面しています。パッチの適用が遅れたり、まったく適用されなかったりする可能性があるのです。 大手企業には専任のセキュリティチームがありますが、WordPressプラグインを通じてビットコイン（BTC）を受け取っている小規模店舗の場合、PHPのパッチ適用を自社のリソースやウェブホストに依存せざるを得ない状況に陥る可能性があります。人気のあるオープンソースのビットコイン決済処理システム「BTCPay Server」自体はPHP上で動作しませんが、WordPressショップ向けのWooCommerceプラグインはPHP上で動作します。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）も、組織に対し、パッチの適用や更新が完了するまでPHPベースのシステムをオフラインにするよう勧告しています。

eMudhraの問題とLightning Labsの警告

一方、ビットコインおよび暗号資産業界では、インドのデジタル認証局eMudhraに関連する別の脆弱性に対処しています。研究者らは、eMudhraの中間証明書のうち8つの秘密鍵が極めて脆弱であることを発見しました。ユーザーがHTTPS経由でウェブサイトにアクセスすると、ソフトウェアはそのデジタル証明書を確認してサイトの身元を検証します。 こうした脆弱な鍵の一つを利用すれば、攻撃者は取引所のウェブサイト用の偽の証明書を作成することが可能になります。ブラウザではすでにこれらの証明書のブロックが始まっていますが、取引ボットや独自の証明書リストを持つアプリなど、他のソフトウェアではブロックされない可能性があります。ユーザーは、影響を受ける証明書を拒否するようにソフトウェアを更新する必要があります。

Lightning Labsの最高技術責任者（CTO）であるオラオルワ・オスントクン氏は、eMudhraの脆弱性が発見された直後、同社のビットコインおよびライトニングネットワークソフトウェアのユーザーに対し、直ちに更新を行うよう呼びかけました。

警戒を怠らないでください

ユーザーはアクセスするウェブサイトのサーバーにパッチを当てることはできませんが、予防策を講じることができます。ブックマークに登録した公式サイトを利用し、「緊急アップデート」といったメッセージは無視してください。 ビットコインやその他の暗号資産を送金する際は、送金先を再確認することが特に重要です。ハードウェアウォレットは送金先アドレスを表示しますが、ハッキングされたウェブサイトが誤ったアドレスを表示していないかは判断できません。ユーザーは、取引所のアプリや保存済みのアドレスなど、別の情報源を通じて受取アドレスを確認する必要があります。

「開発から木工に転向しようと思います。そちらの方が安全ですから。すべてが解決したら、また連絡してください」と、BTCPay Serverの創設者であるニコラス・ドリエ氏は冗談を飛ばした。