修正

インドの証明書発行機関eMudhraの暗号セキュリティの脆弱性が、EthereumクライアントTekuとBesuに影響を及ぼしています。研究者は、eMudhra傘下の8つの中間証明書発行機関の秘密鍵がランダム性不足のために推測される可能性があることを発見しました。攻撃者はこれにより証明書を偽造し、修正されていないソフトウェアを利用して悪意のあるサービスを信頼させることができます。Tekuは26.1.3バージョンをリリースし、Besuは26.1.2バージョンをリリースしました。どちらもDockerイメージ内で関連証明書への信頼を削除しました。攻撃者が中間者攻撃を実施した場合、一部のバリデーターがブロック手数料の報酬を攻撃者のアドレスに送信するよう誘導される可能性があります。外部署名器を使用する特定の構成では、リスクがさらに高まる可能性があります。Tekuチームは、デフォルト構成のEthereumメインネットTekuノードは影響を受けず、行動を取る必要はないと述べており、現在のところ脆弱性が悪用されたという報告はありません。ホスト上で直接TekuまたはBesuを実行し、Dockerを使用していないオペレーターは、クライアントを更新するだけでは不十分な場合があり、Javaおよびその信頼された証明書リストを手動で更新する必要があります。サポートが終了したJava 26を使用しているオペレーターは、Java 25に移行する必要があります。

Strategy 創業者兼会長の Michael Saylor は、MSTR の株主が毎日の配当修正案を承認したと発表し、初期結果は 99.3% の投票賛成を示しています。この修正案は、STRF、STRC、STRK、STRD の 4 つの優先株が毎自然日ごとに配当を計上することを許可します。新しい規則が施行された後、毎自然日が配当登録日となり、配当は次の営業日に支払われます。STRC の最初の登録日と支払日はそれぞれ 11 月 1 日と 11 月 2 日です。STRF、STRK、STRD の最初の登録日と支払日はそれぞれ来年 1 月 1 日と 1 月 4 日です。

Bitcoin News の監視によると、Electrum は 2026 年 10 月 24 日に 4.8.3 バージョンをリリースし、実際の攻撃に使用されたセキュリティ脆弱性を修正しました。悪意のあるサーバーはユーザーに偽の取引を表示し、ユーザーが代替手数料（RBF）を使用して取引を加速しようとする際に、攻撃者のアドレスへの支払いを署名するように誘導します。攻撃者はユーザーの秘密鍵を取得する必要はありません。Electrum は関連する報告を 2 件受け取ったと述べており、そのうちの 1 人のユーザーは手数料を引き上げた後にビットコインを失ったと報告しており、ユーザーに 4.8.3 バージョンへの更新を推奨しています。

Initiaの監視によると、10月23日に発見された脆弱性に対して、安全修復策が策定され、現在安全パートナーと監査を行っています。監査が完了次第、Initiaは影響を受けた資産のサポートをどのように回復し、Initia L1およびRollupネットワークを秩序正しく再起動するかについて具体的な計画を発表します。このプロセスは今後数日以内に完了する見込みです。

CoinDesk の報道によると、イーサリアムの開発者は Glamsterdam アップグレードの中で発見された脆弱性を修正しました。この脆弱性は、オペレーターがステーキングサービスを利用して新しいバリデーターのための ETH を持ち去る可能性がありました。修正はバリデーターの預金処理ルールを変更し、月曜日に統合されましたが、開発者は一週間前にこの修正を拒否していました。研究者 avsetsin は、オペレーターが特定の公開鍵を使用してビルダーとして登録し、その後ステーキングサービスが同じ鍵を使用して ETH を預けてバリデーターを起動した場合、草案ルールが両方の預金をビルダーに記録することを発見しました。avsetsin は、これは条件付きコードの発見であり、確認されたリアルタイムの脆弱性の利用ではないと述べています。既存のチェックが攻撃を防ぐことができ、現在のところ損失の報告はありません。新しいルールは、引き出し証明書に基づいて預金の順序を処理し、バリデーターの預金が依然としてバリデーターに帰属するようにします。Glamsterdam は Sepolia テストネットで稼働していますが、Hoodi テストネットの立ち上げは延期されており、メインネットの立ち上げ前に新しい日付を決定する必要があります。

アメリカ証券取引委員会（SEC）の開示文書によると、Cryptex Digital Market Cap ETFは10月23日に第六回目の有効前S-1修正案を提出し、取引コード「BAGZ」でナスダックに上場する予定で、発起人はCryptex Financeです。このファンドは、Cryptex Digital Market Cap Indexの構成および比率に基づいて、さまざまな暗号資産を直接保有する計画であり、指数に応じて再バランスを行います。文書に記載された初期の資産は、ファンドの純資産価値の5％以上に達する可能性があり、BTC、ETH、XRP、HYPE、DOGE、SHIB、ADAおよびCTXが含まれ、具体的な構成と比率は時間とともに変化します。この提出は登録申請の更新に該当し、SECがこの製品を承認したり、取引が開始されたことを示すものではありません。

ビットコイン軽量ウォレット Electrum は 10 月 24 日に取引手数料に対する悪意のあるサーバー攻撃を公表し、4.8.3 バージョンで修正しました。これは GitHub セキュリティ公告 GHSA-6jp4-8v48-cc5v に対応しています。ユーザーが取引に通常の手数料を加える際、資金を攻撃者に署名してしまう可能性があります。開発者によると、これはユーザーが手数料を署名した後に資金を失ったと報告したことが原因です。二つの報告の結果は異なります：一人は支払いを放送した後、ウォレットの履歴にある取引が置き換えられていることに気づき、元の支払いがビットコインのピアツーピアネットワークに入っておらず、サーバーに保持されていると述べました；もう一人の Raju-K12 は置き換えられた取引の手数料を加えた後に資金を失いました。攻撃では、悪意のあるサーバーがクライアントが放送した新しい取引を保持し、履歴に対立する取引を挿入し、元の出力を攻撃者のアドレスに置き換えました。その置き換え取引は当時署名が無効でしたが、軽量クライアントは未確認の取引前にこれらの署名を確認していませんでした；ユーザーは RBF を通じて手動で手数料を加え、署名した後、攻撃者が受け取ることが有効になりました。二人とも攻撃者のアドレスが合法的な受取アドレスの末尾四桁と同じであると述べています。公告では盗まれた金額、取引識別子、または攻撃者のアドレスは公表されていません。パッチは 90fe308 に対応し、メモリプールの取引をローカル履歴に書き込む前に、そのウォレットの独自の入力の署名を確認しますが、ウォレット外のアドレスの入力は上書きせず、完全な合意検証は行いません。公告では、未アップグレードのユーザーに対し、毎回署名する際に出力アドレスと金額を確認することを推奨しています；独自または信頼できるサーバーに接続しているクライアントはこの攻撃の影響を受けません。タイムラインでは、10 月 11 日に初めて非公開で公表され、10 月 18 日に手数料損失の報告を受け、修正バージョンは 10 月 23 日にタグ付けされ、バイナリと公開は 10 月 24 日に行われました。

ビットコインウォレット Electrum の公式が 4.8.3 バージョンのリリースを発表し、今回の更新で重大なセキュリティ問題が修正されたと述べ、すべてのユーザーにアップグレードを促しています。公式は、脆弱性の詳細な説明は後ほど発表されるとしています。その GitHub 更新ログでは 4.8.3 をセキュリティ更新としてマークし、リリース日は 10 月 23 日です。Electrum 公式サイトは、ユーザーがソフトウェアを公式サイトからのみダウンロードし、GPG デジタル署名を確認してインストールパッケージの出所と完全性を確認するように注意を促しています。

国家情報セキュリティ脆弱性共有プラットフォーム（CNVD）は「PHPリモートコード実行脆弱性の分析と修正提案に関する安全公告」を発表しました。その中で、影響を受けたユーザーは公式情報に注意を払い、公式チャネルを通じて最新バージョンにダウンロードおよび更新することを推奨しています。更新が一時的にできないユーザーは、一部の攻撃経路を減少させ、脆弱性の脅威を緩和するための対策を講じ、PHPプロセスの異常終了、システムの異常コマンド呼び出し、未知のプロセスの作成、異常ファイルの書き込みなどの行動を継続的に監視し、ログを保存して追跡分析に利用することが求められています。CNVDは防護提案の中で、情報システム運営単位はさらなるセキュリティ防護を強化し、自単位のネットワーク資産を全面的に整理し、必要のない場合はインターネットに接続しない原則に従って、情報システムの公衆ネットワークへの露出を縮小するべきだと述べています。修正条件が整っていない運営単位は、ネットワーク隔離、ネットワークアクセス制限、必要のない業務システムのオフライン化などの一時的な対応策を講じる必要があります。

ゼロ知識証明基盤のSuccinctは、無効な証明が有効と判断される可能性のあるSP1のセキュリティ脆弱性を修正しました。The Defiantによると、欠陥は6.0から6.8.0バージョンのネイティブRust検証パスに存在し、Solidity検証器を介して実行されるオンチェーンのGroth16およびPlonk検証には影響を受けません。

CoinDesk の報道によると、XRP Ledger のバグ修正パッチは、バリデーターのサポート数が一時的に 26 に減少したため（合計 35）、発効のカウントダウンがリセットされ、パッチの発効が 11 月に延期されました。現在、サポート数は 31 に回復しましたが、2 週間のカウントダウンを再計算する必要があるため、今回の修正は元々の発効予定の時間枠を逃しました。

腾讯云安全中心監視によると、PHPにリモートコード実行の脆弱性が公開されました。脆弱性番号はそれぞれCVE-2026-109618、CVE-2026-109619で、コードネームは「php2shell」です。この脆弱性により、認証されていないリモート攻撃者が特製のmultipart POSTリクエストを送信することで、メモリ破壊を引き起こし、最終的にリモートコード実行を実現し、サーバーを完全に制御するなどの危害をもたらす可能性があります。腾讯云安全は、影響を受ける範囲にある場合は、迅速に安全な自己点検を行い、適時に更新修正を行い、外部攻撃者による侵入を避けることを推奨します。

ブロックチェーンセキュリティ研究機関 Asymmetric Research が発表したところによると、Solana チェーン上のガバナンスプログラム svmgov に以前存在していた脆弱性がありました：バリデーターが投票に参加しない場合、その委任者が事前に提出した独立した投票が最終結果に反映されない可能性がありました。この脆弱性は 7 月 10 日に Solana 財団に報告され、8 月 3 日にメインネットの修正が完了し、8 月 24 日のガバナンス投票よりも早く修正されました。Asymmetric Research はチェーン上のデータに基づいて計算したところ、脆弱性が修正されなかった場合、SOL のインフレを減速させることを目的とした SGP-0002 提案の賛成率は実際の 67% から 66.65% に低下し、66.67% の通過基準を下回る可能性があることがわかりました。この脆弱性は投票前に修正され、提案の結果には実際の変更をもたらしませんでした。

The Defiant の報道によると、THORChain はその v3.21 バージョンのアップグレードを発表し、Rujira 上の FIN コントラクトの脆弱性を修正し、以前に一時停止されたアプリケーションレイヤーの再起動を可能にします。このネットワークは、ブロック高 28,366,100 をアップグレードの目標として設定しており、予定日は 10 月 23 日頃です。再起動後、Rujira 上の取引、貸出、借入および自動取引が再開されます。Rujira の製品は、独立したブロックチェーンではなく、THORChain 内部のスマートコントラクトを通じて運営されており、アプリケーションレイヤーの一時停止は THORChain の基盤レイヤーに影響を与えることなくこれらのコントラクトを停止できます。Rujira によると、この脆弱性は 9 月 26 日に発見され、攻撃者はポジションを持たない状態でカスタム集中流動性ポジションを移動させました。チームはノードオペレーターのサポートを受けてアプリケーションレイヤーを一時停止し、Rujira チーム自身の一つのポジションのみが影響を受け、ユーザーの資金損失はありませんでした。Rujira はこの脆弱性をポジション移転関数の欠陥に起因するとし、流動性戦略の取引ロジックには問題がないとしています。9 月 27 日、Rujira は修正が基盤レイヤーにあり、v3.21 アップグレードに組み込まれることを発表しました。再起動ウィンドウに関して、Rujira は 10 月 15 日の提案で条件付きの猶予期間を提案しました：アプリケーションレイヤーが再開の準備が整った場合、信用口座ポジションの貸出価値比が 100% を超え、清算条件を満たす場合、ノードオペレーターに信用口座コントラクトをさらに 24 時間一時停止するよう要求し、借入者が清算が再開される前に担保を補充できるようにします。借入者は Rujira Borrow を通じて、または直接信用口座アドレスに資産を送金することで担保を補充できます。Rujira は 10 月 10 日に、猶予期間後も安全でないポジションは清算人がプロセスを開始した際に清算される可能性があることを警告しました。

フランス国民議会は金曜日に38票賛成、37票反対、25票棄権でI-3898号修正案を通過させ、特定の暗号通貨の安定コインへの交換取引に課税することを提案しました。この関連規定が通過すれば、2027年から施行される見込みです。この措置は暗号通貨のキャピタルゲイン税の計算方法を変更し、投資家がBitcoinや他の暗号通貨を安定コインに交換する際、法定通貨に交換していなくても、関連する利益が課税対象となる可能性があります。フランス国民議会は火曜日に「2027年財政法案」の第一部について投票を行う予定です。実現した暗号通貨の損失を10年間繰り越す提案について、議会は金曜日に18票賛成、75票反対、3票棄権で否決しました。フランスの議員はまた、2つの暗号通貨税制提案を審議しています：I-CF1822は、未実現利益に対する離境税を拡大し、暗号通貨投資ポートフォリオの総価値が80万ユーロを超え、フランスから居住地を移す納税者に適用されることを提案しています；I-2701は、自己保管ウォレットの保有を申告することを要求し、関連納税年度の総価値が10万ユーロを超える場合に適用されることを提案しています。これらの2つの提案は月曜日まで審議中です。

XRP Ledger の修正パッケージ fixCleanup3_4_0 は、10 月 23 日 09:34 UTC 前後に正式に有効になる予定です。この修正パッケージは 29 のバリデーターの投票を得ており、ネットワークのデフォルトである 35 のバリデーターのうち 80% を超える通過基準を達成しており、さらに 2 週間連続して維持する必要があります。現在、カウントダウンは 9 日間進行中です。票数に余裕がないため、バリデーターが支持を撤回するとカウントダウンは再び始まります。この修正パッケージは、Ripple が 6 月から銀行や決済会社に提案している無担保貸付システムの一部を修正していますが、このシステムはまだ有効になっていません。現在、貸付修正案には 19 票、資金を保管するための vault 修正案には 21 票があり、どちらもカウントダウンは開始されていません。したがって、今日同時に 29 票に達しても、貸付機能は最も早くても 11 月初めまでには開始されません。設計に従い、貸付人は XRP または他のトークンを vault に預け、貸付ブローカーが固定期間で資金を貸し出します。台帳は貸付を記録し、返済を追跡し、ブローカーはオフチェーンで借り手の資格を判断します。借り手が担保を提供する必要がないため、ブローカーの判断が貸付人がデフォルトによる損失を回避する唯一の保証となります。Ripple はこのプランを、国際決済中に流動性を得る必要がある決済会社に提案しています。さらに、修正パッケージは、特定の条件下でのみトークンを破棄する権限を持つアカウントが新しいトークンを作成できるという脆弱性を修正し、vault の金額の切り捨ておよび貸付の遅延とデフォルトの判定ルールを調整しました。

The Defiant の報道によると、フランス国民議会は2027年予算案の審議中に、38票賛成、37票反対で修正案を通過させ、2027年1月1日から一部の暗号資産を単一法定通貨に連動するステーブルコインに交換する際に享受される税金の繰延べ待遇を廃止することを決定しました。今回、100名の議員が投票に参加し、そのうち75票が有効投票でした。

Polygon Labs 公式発表、Bor v2.1.3 が正式に公開されました。以前はプライベートバージョンとしてバリデーターや主要インフラプロバイダーに配布されていました。今回の更新では、BlockSTM V2 の並行ブロック実行における2つの中程度の拒否サービス脆弱性が修正されました。これらはすべて、セキュリティ研究者によってImmunefiの脆弱性報奨プログラムを通じて提出されました。無界 keccak256 キャッシュ問題：攻撃者は特定のトランザクションを構築することで、投機実行段階で数百MiBのキャッシュを埋め尽くし、ノードのメモリを枯渇させてブロック生成を遅延させることができます。修正策は、共有キャッシュに容量制限を設定することです。並行実行における重複コードハッシュ計算問題：単一のトランザクションが並行プロセッサの処理に約11秒かかり、ノードの活性に深刻な影響を与えます。修正策は、コードハッシュ結果をトランザクションごとにキャッシュすることです。さらに、今回の更新にはいくつかの内部強化も含まれています：トランザクションプールのアドレスフィルタリングにEIP-7702 SetCodeの権限のインターセプトが追加され、RPCバッチ実行プールの同時実行制限が修正され、並行実行の自己破壊境界を越えた残高読み取りの一貫性が修正され、滞留待機トランザクションの自動クリーンアップメカニズム（デフォルトは3時間）が追加されました。影響を受けるバージョンはBor v2.1.1およびv2.1.2です。v2.1.3はハードフォークではなく、ノードは個別にアップグレードでき、調整は不要です。2つの脆弱性はメインネットおよびテストネットのAmoyでは利用された記録はありません。

オランダの半導体機器メーカーASMLは、3四半期連続で年間売上予想を上方修正し、2026年の売上高は440億ユーロから450億ユーロの間になると予測しています。第3四半期の純売上高は116.6億ユーロに達しました。ASMLは来年、低数値孔径極紫外線リソグラフィ装置の生産能力を30%引き上げる計画であり、2027年と2028年には市場の需要を完全に満たすことができないと述べています。

Bitcoin Newsによると、ビットコインのライトニングネットワーク開発キットLDKは、複数のセキュリティ脆弱性を修正しました。その中で、チャネル再接続の脆弱性は悪意のある対戦相手によって利用され、資金が盗まれる可能性があります。LDKの公式は10月3日に0.1.13、0.2.7、及び0.3-rc3バージョンをリリースし、信頼できないチャネルの対戦相手と相互作用するオペレーターに対してアップグレードを推奨しています。現在、関連する開示ではこれらの脆弱性が実際の損失を引き起こしたことは確認されていません。