php

脆弱性報酬プラットフォーム Immunefi の CEO ミッチェル・アマドールは、インターネットユーザーが PHP の脆弱性によって引き起こされるネットワーク攻撃のリスクに直面していると警告しました。特に、緊急アップグレードが遅い小規模なウェブサイトは、修正に数週間かかる可能性があります。彼は「脆弱性の終末」が計画通りに到来しており、脆弱性を発見するコストが低下する一方で、脆弱性を修正するコストは依然として高いと述べました。彼は、ユーザーに対して今後数週間、ログインしたすべてのウェブサイトを攻撃されている可能性があると見なし、パスワードの使い回しを避け、暗号ウォレットを接続する際には注意を払い、認識できないトークンの権限を取り消すように勧めました。以前、PHP財団はリソース不足のため、2024年に初めて発見された深刻なセキュリティ脆弱性の修正を遅らせたことを認めました。PHP開発者は同日に2つの深刻な脆弱性のための緊急パッチをリリースしましたが、各ウェブサイトは自らアップグレードを行う必要があります。CloudflareのCEO マシュー・プリンスは、PHPの脆弱性が公に開示された24時間以内に、ネットワーク上で数百万回の悪用試行が記録され、開示前にも数千回の試行があったと述べました。W3Techsの推計によれば、PHPは約69%の既知のサーバーサイドプログラミング言語を持つウェブサイトをサポートしており、これらの脆弱性は攻撃者がマルウェアを広めたり、ウェブサイトに悪意のあるスクリプトを注入したりすることを可能にする可能性があります。アメリカ連邦捜査局のサイバー部門も、これらの脆弱性が悪意のある行為者に「PHPコア内でリモートコードを実行させる可能性があり、敏感なデータやネットワークを危険にさらす可能性がある」と警告しています。アマドールは6月にCointelegraphのインタビューで、最先端のAIモデルの普及がサイバーセキュリティの状況を変え、攻撃者に有利な状況をもたらし、「脆弱性の終末」を引き起こし、DeFiのハッキング攻撃の再発を引き起こしていると警告しました。Immunefiは世界最大の脆弱性報酬プラットフォームであり、これまでに650のプロトコルに対して1.4億ドルの報酬を支払っています。

研究者は PHP の脆弱性を利用して「私のビットコインを盗む」（Steal My Bitcoin）チャレンジを成功裏に攻略しました。このチャレンジの賞金は 0.02511679 BTC でした。しかし、チャレンジ運営側は後にサーバーに保存されていたのが誤ったウォレットキーであることに気付き、最終的に手動で賞金をその研究者に転送せざるを得ませんでした。

ロイター通信 10月23日報道、オープンソース言語 PHP を支持する非営利団体 PHP 財団の執行理事エリザベス・バロンは金曜日に電子メールでインタビューに応じ、財団の資金が深刻に不足していると述べた。彼女は、最近の出来事は企業と政府が PHP に高度に依存していることを示しており、この依存を考慮すると、PHP の資金は明らかに不足していると語った。バロンは、財団には現在1名のフルタイム職員、つまり彼女自身のみが在籍しており、他に14名の主にパートタイムの契約者がいると述べた。資金は寄付と助成金から来ている。人工知能に関連するコーディングの増加により、財団の作業量は約2倍になった。PHP プロジェクトが受け取ったコード変更提案はほぼ1年前の2倍だが、貢献者の数は倍増していない。彼女は、コードの貢献やバグ報告のレビューには多くの人的投入と経験が必要だと述べた。ロイター通信は、今週 PHP の2つの重大な脆弱性が発見され、世界中のウェブサイトが緊急修正を行ったことを報じており、この約30年のオープンソース言語がインターネットにとって重要であることを示している。記事によれば、PHP は世界中の約70%のウェブサイトを支えている可能性があり、現在これらの脆弱性が公開前に悪用された証拠は見つかっていない。報道は記者トビー・スターリングがアムステルダムから発信した。

国家情報セキュリティ脆弱性共有プラットフォーム（CNVD）は「PHPリモートコード実行脆弱性の分析と修正提案に関する安全公告」を発表しました。その中で、影響を受けたユーザーは公式情報に注意を払い、公式チャネルを通じて最新バージョンにダウンロードおよび更新することを推奨しています。更新が一時的にできないユーザーは、一部の攻撃経路を減少させ、脆弱性の脅威を緩和するための対策を講じ、PHPプロセスの異常終了、システムの異常コマンド呼び出し、未知のプロセスの作成、異常ファイルの書き込みなどの行動を継続的に監視し、ログを保存して追跡分析に利用することが求められています。CNVDは防護提案の中で、情報システム運営単位はさらなるセキュリティ防護を強化し、自単位のネットワーク資産を全面的に整理し、必要のない場合はインターネットに接続しない原則に従って、情報システムの公衆ネットワークへの露出を縮小するべきだと述べています。修正条件が整っていない運営単位は、ネットワーク隔離、ネットワークアクセス制限、必要のない業務システムのオフライン化などの一時的な対応策を講じる必要があります。

アメリカ・ニューヨーク州金融サービス局は、2つの重要なPHPの脆弱性について警告を発表し、規制対象の実体に対して、既知の悪用されている脆弱性を迅速に特定し修正するよう促しました。

彭博社の報道によると、アマゾンの脅威インテリジェンスチームは、ハッカーがPHPの2つのセキュリティ脆弱性が公開される数日前から関連する脆弱性を悪用しようとしていたことを発見しました。脆弱性が水曜日に公開された後、ハッカーの活動はさらに拡大し、アマゾンは関連する脆弱性が広範囲に利用されていると述べましたが、具体的な被害者情報は公開していません。サイバーセキュリティ会社Palo Alto Networksは、世界中で2260万件以上の露出したインスタンスに関連する脆弱性が存在することを発見しました。Wizの研究者は、この脆弱性が約70%のインターネットに影響を与える可能性があり、すでに10年以上存在していると推定しています。また、NCC Groupのネットワークインテリジェンスおよびレスポンスの副社長であるMatt Hullは、一部の脆弱性のあるシステムが侵入され、さらにはバックドアが植え付けられている可能性があると警告しました。

中国工業情報化部のネットワークセキュリティ脅威と脆弱性情報共有プラットフォーム（NVDB）が監視したところ、PHPに2つのリモートコード実行の超危険な脆弱性が存在し、深刻な危害をもたらすことが判明しました。PHPは、Web開発に広く使用されているオープンソースのサーバーサイドスクリプト言語であり、認証されていない攻撃者がこれらの脆弱性を利用してリモートで任意のコードを実行し、サーバーの制御、機密情報の漏洩、業務の中断などの危害を引き起こす可能性があります。影響を受ける範囲は、8.5シリーズの8.5.12未満、8.4シリーズの8.4.27未満、8.3シリーズの8.3.36未満、8.2シリーズの8.2.35未満、及び8.1シリーズおよびそれ以前のバージョンを含みます。PHPセキュリティチームは脆弱性を修正し、安全に関する公告を発表しました。NVDBは関連する機関とユーザーに対し、直ちに調査を行い、最新の安全バージョンにアップグレードするか、一時的にオフラインにする、セッションアップロード進捗機能を無効にする、ネットワーク隔離、ネットワークアクセス制限などの一時的な防護措置を講じることを推奨し、監視と管理を強化し、アカウント、パスワード、キーなどの証明書を適時修正するように呼びかけています。

BTCPay Serverは、最近公開された深刻なPHPの脆弱性に対応するため、Dockerインストーラーを通じてオプションのWooCommerce/WordPressデプロイメントを更新しました。BTCPay ServerでWooCommerceを実行しているユーザーは、すぐに更新する必要があります。BTCPay Server内で「Update」をクリックすることで完了できます。

腾讯云安全中心監視によると、PHPにリモートコード実行の脆弱性が公開されました。脆弱性番号はそれぞれCVE-2026-109618、CVE-2026-109619で、コードネームは「php2shell」です。この脆弱性により、認証されていないリモート攻撃者が特製のmultipart POSTリクエストを送信することで、メモリ破壊を引き起こし、最終的にリモートコード実行を実現し、サーバーを完全に制御するなどの危害をもたらす可能性があります。腾讯云安全は、影響を受ける範囲にある場合は、迅速に安全な自己点検を行い、適時に更新修正を行い、外部攻撃者による侵入を避けることを推奨します。

GMGNのデータによると、過去24時間のスマートマネーの純流入トップ5のトークンは以下の通りです：PHP-UP（E1FT....smh）：純流入1,000ドル、過去24時間の上昇率512.7%、現在の価格は$0.0001。Pokémon（D42T....vb1）：純流入1,000ドル、過去24時間の上昇率-38%、現在の価格は$0.0007。XHOLDINGS（5SPg....ump）：純流入699ドル、過去24時間の上昇率-18.8%、現在の価格は$0.0001。Naseem（9PSZ....ump）：純流入570ドル、過去24時間の上昇率37.1%、現在の価格は$0.0001。XMR（WXMR....eJp）：純流入544ドル、過去24時間の上昇率-3.2%、現在の価格は$582.4483。

慢雾安全予警は、PHPが10月20日に安全公告を発表し、リモートコード実行（RCE）を引き起こす可能性のある2つの深刻なセキュリティ脆弱性、番号はそれぞれCVE-2026-109618とCVE-2026-109619で、CVSS v4スコアはどちらも9.2であることを明らかにしたと述べています。現在、PHP公式は修正パッチをまだ発表しておらず、脆弱性の具体的な影響を受けるバージョンや利用条件はまだ確認されていません。既存の情報によると、PHP公式は10月21日14:00 UTC（北京時間22:00）に安全更新を発表する予定です。慢雾は関連機関に対し、サーバーおよび業務システム内のPHPバージョンを早急に調査し、特に公に露出しているPHPサービスに注意を払い、パッチが公開された後に迅速にアップグレードすることを推奨しています。暫定的にアップグレードできないシステムは、アクセス元を制限し、必要に応じて隔離措置を講じるべきです。

ChainCatcher のメッセージによると、フィリピンの複数の銀行、フィリピン連合銀行（UnionBank）、リザール商業銀行（Rizal Commercial Banking）、カンティラン銀行（Cantilan Bank）、およびギノバタン農村銀行（Rural Bank of Guinobatan）は、今年後半に PHPX という名のペソ安定コインを導入する計画を立てており、初めは Hedera 分散台帳技術（DLT）ネットワーク上で運用される予定です。このプロジェクトはシンガポールのスタートアップ Just Finance によって発起され、銀行は重要なガバナンスの役割を果たします。クロスボーダー決済、特に送金は、このプロジェクトの重点的なユースケースの一つです。

ChainCatcher 現地報告、Solana 2024 Breakpoint 大会において、フィリピンの暗号通貨取引所 Coins.ph の CEO Wei Zhou が、Solana 上でフィリピンペソのステーブルコイン PHPC を発表しました。PHPC は次の四半期内に Solana に上場し、PHPC/USDT および PHPC/USDC の流動性プールを Solana に導入します。Coins.ph は、東南アジアの主要な暗号アプリであり、1600 万人以上のユーザーを持ち、暗号通貨、電子財布、支払いを含む法定通貨および暗号通貨のウォレットと取引サービスを提供しています。同社はフィリピン中央銀行（BSP）の監督を受けており、中央銀行が発行した仮想通貨および電子通貨発行者ライセンスを保有しています。

ChainCatcher メッセージ、フィリピン中央銀行公式サポートのステーブルコイン PHPC が Ronin Network に上場しました。フィリピンの暗号取引プラットフォーム Coins.ph が技術サポートを提供しています。

ChainCatcher のメッセージ、フィリピン中央銀行はフィリピンペソに連動したステーブルコイン PHPC を承認しました。この措置はコスト効率の良い送金を促進することを目的としており、フィリピン銀行の現金および同等物によって裏付けられています。最初は Coins.ph プラットフォームで導入され、他のプラットフォームへの拡張が計画されています。報道によると、PHPC はペソを裏付けとし、小口投資家向けの初のステーブルコインであり、24時間リアルタイム取引を提供します。