research-2026-php-vulnerability

「PHPに重大な脆弱性」「バイナンス共同創業者のCZ氏が注意を呼びかけ」。こうした見出しを見て、自分の暗号資産は大丈夫なのか、と調べに来た人に向けた記事です。

先に、この記事が渡すことを1つだけ書きます。

今回の欠陥は、ビットコインではなく「Webサイトを動かすPHP」の側にあります。直すのは、サイトを運営する側です。利用者が自分でできるのは、使っているサービスの公式の発表を見ること、正しいURLから開くこと、不審なサイトやリンクを開かないこと、そして暗号資産を送る前に送り先を別の入口で確かめることです。

根拠にしたのは、PHPの開発チームの発表（php.net）と、日本のIPA（情報処理推進機構）の注意喚起、金融庁の偽サイトへの注意です。CZ氏の言葉は、海外の報道で引用されたものを使っています。どれも記事の最後にリンクを置いています。

※ 情報提供のみを目的としています。特定の取引所やサービスの利用は勧めません。攻撃の手順には触れません。

塾長とミサキ

火曜の夜、予備校の学習スペース。ミサキはノートパソコンを開いたまま、塾長を待っていた。画面には、英語のニュースを翻訳したページと、同じ話題の検索結果のタブがいくつも並んでいる。

ミサキミサキ
「塾長、これ見ました？　バイナンスの共同創業者のCZって人が、『この数日は、どのWebサイトを開くときも特に気をつけて』って」
塾長塾長
「PHPの件か。……タブ、ずいぶん開いたな」
ミサキミサキ
「調べるほど分からなくなって。でも、暗号資産で有名な人がわざわざ言うんだから、ビットコインに穴が開いたってことですよね。正直、まだ買ってなくてよかった、って思っちゃいました」
塾長塾長
「PHPが何をするものかは、出てきた？」
ミサキミサキ
「……書いてあったかもしれないけど、読み飛ばしてます。ビットコインの中のプログラムじゃないんですか」
塾長塾長
「サーバーの上で動くスクリプト言語で、Webのリクエストを受けて——」
ミサキミサキ
「待ってください。それ、私が毎日やってることで言うと、どこの話ですか」
塾長塾長
「ネットでサイトを開く。その向こう側で動いてる部品だ」
ミサキミサキ
「向こう側……。じゃあ、直すのはサイトの会社ですよね。なのに『開くときに気をつけて』って、開く側は何をすればいいんですか」
塾長塾長
「元の発表で確かめよう。誰が直すもので、こっちには何が残るのか」

1. 何が起きたか：PHPの発表とIPAの注意喚起

10月20日：前日の予告

PHPの開発チームは2026年10月20日、修正版を出す前日に予告を出しました。

two critical vulnerabilities (both rated CVSS v4.0 9.2, Critical)

重大な脆弱性が2件（どちらもCVSS v4.0で9.2、Critical）（当校による訳）

CVSSは、脆弱性の深刻さを表す点数の物差しです。2件とも9.2で、評価は「Critical（重大）」でした。予告は、修正版を10月21日に出すとしていました。

10月21日：修正版の公開

10月21日、PHPの公式サイト（php.net）に修正版の公開が載りました。版は 8.5.12・8.4.27・8.3.36・8.2.35 の4つです。発表はこう書いています。

This is a security release fixing two critical vulnerabilities (CVE-2026-109618, CVE-2026-109619) that can allow unauthenticated remote code execution.

これは、ログインなしで遠隔からコードを実行され得る重大な脆弱性2件（CVE-2026-109618、CVE-2026-109619）を直すためのセキュリティリリースです（当校による訳）

言葉を3つに分けます。

  • ログインなしで（unauthenticated）：IDやパスワードを持っていない人でも。
  • 遠隔から（remote）：ネットの向こうから。
  • コードを実行（code execution）：外から送り込んだプログラムを、PHPが動いているサーバーで動かされる。

同じ発表には、こうもあります。

There are no complete mitigations, updating is the only safe choice.

完全な回避策は無く、更新することだけが安全な選択です（当校による訳）

10月22日・27日：IPAの注意喚起

日本では、IPA（独立行政法人 情報処理推進機構）が10月22日に「PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)」を掲載しました。

これらの脆弱性を悪用された場合、遠隔の第三者によって、任意のコード実行が実行される可能性があります。

IPAによると、2件の組み合わせは「PHP2shell」と呼ばれています。対策の欄の最初は、こうです。

開発者が提供する情報をもとに、最新版へアップデートしてください。

IPAは10月27日にこのページを更新し、米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）が10月26日（現地時間）に、2件を「悪用された脆弱性として」一覧（KEVカタログ）に載せた、と追記しています。KEVカタログは、その名前（Known Exploited Vulnerabilities Catalog）のとおり、悪用されたことが分かっている脆弱性の一覧です。「直せば終わり」の予告の段階ではなく、悪用された脆弱性として扱われている、ということです。

発表されたのは、PHPという道具の欠陥と、その修正版です。 では、直さないといけないのは、どこなのか。ここで1つ予想してください。

先に予想してください：直すのは、どこ？

今回の欠陥について、php.netの発表が「直して」と求めているのは、どちらでしょう。

A 暗号資産を使う人の、スマホやパソコンの中

B Webサイトを動かしている側（サーバー）で使われているPHP

場面の塾長の言葉で、見当が付いた人もいるかもしれません。それでも、AかBかを決めてから次の章を読んでください。次の章では、その答えを元の発表の言葉で確かめます。

2. 答え合わせ：PHPはどこで動いているか

PHPとは

php.netのトップページは、PHPを自分でこう紹介しています。

A popular general-purpose scripting language that is especially suited to web development.

Fast, flexible and pragmatic, PHP powers everything from your blog to the most popular websites in the world.

広く使われている汎用のスクリプト言語で、特にWebの開発に向いている。速く、柔軟で、実用的で、あなたのブログから世界で最も人気のあるWebサイトまで、あらゆるものを動かしている（当校による訳）

PHPは、Webサイトを動かすための言語だ、ということです。場面で塾長が言った「その向こう側で動いてる部品」は、これを指しています。IPAも、「PHPは、様々なウェブアプリケーションやソフトウェア製品で利用されています」と書いています。

危ないのは「Webのリクエストを受けるPHP」

php.netの10月21日の勧告は、影響を受けるものをこう書いています。

Who is at risk: all PHP installations serving web requests, including PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed.

影響を受けるのは：Webのリクエストを受けるすべてのPHP（PHP-FPM、mod_phpを使うApache、php-cgi、FrankenPHP、LiteSpeedを含む）（当校による訳）

「Webのリクエストを受ける」とは、サイトを開いた人からの「このページを見せて」という要求を、Webサイトを置いているコンピューター（サーバー）の側で受け取る、ということです。

直し方の欄も、サーバーを運営する人に向けた内容です。修正版をダウンロードする、Linuxの配布元（ディストリビューション）に更新済みのパッケージがないか確かめる、PHPの開発チームの更新が終わった古い版（PHP 8.1以前）は、配布元や長期サポートの業者に問い合わせるか、サポートされている版へ上げる、などが並んでいます。IPAの対策の欄も、更新が難しいときの検討として「システム管理担当者だけでなく、事業責任者や経営層も含め」と書くなど、PHPを使ったシステムを運用する組織に向けて書かれています。

発表に、ビットコインの名前は出てこない

php.netの勧告にも、IPAの注意喚起にも、ビットコインや暗号資産の名前は出てきません。IPAが「影響を受けるシステム」として挙げているのは、PHPの版だけです（8.2.35より前の8.2系、8.3.36より前の8.3系、8.4.27より前の8.4系、8.5.12より前の8.5系）。

答えはBです。 今回の発表が直すよう求めているのは、Webサイトの向こう側のPHPで、利用者の手元のスマホやパソコンではありません。利用者が自分の端末を更新しても、使っているサイトのサーバーのPHPは直りません。

誰が何をするのかを表にすると、こうなります。

誰今回することの例根拠
PHPの開発チーム修正版（8.5.12・8.4.27・8.3.36・8.2.35）を10月21日に出したphp.net
PHPでサイトやシステムを動かす運営者PHPを修正版に更新するphp.net、IPA
サイトを使う利用者自分ではサーバーを直せない。発表を見る・開き方に気をつける（4章）当校の整理

3. 暗号資産の利用者に関わる入口

欠陥がサイトの向こう側にあるとしても、利用者に関係がないわけではありません。暗号資産を使う人がふだん通る「入口」で分けます。

入口1：自分が使っているサービスのサイト

取引所やウォレットのサービスも、Webサイトやアプリを使って利用者とやり取りしています。そのサイトがPHPで動いているか、動いているなら直したかは、サービスごとに違い、利用者が外から確かめる方法は、この記事で調べた範囲では見つかっていません。

IPAは、組織に向けて次のように書いています。

自組織で開発・利用している製品等の影響については、その製品等の開発者やサービス提供元からの情報をご確認ください。

これは組織向けの文ですが、利用者にも同じ考え方が使える、と当校は読みます。自分のサービスがどうなのかは、そのサービスが出す情報で確かめる、ということです。

海外の暗号資産ニュースサイト「Bitcoin.com News」の10月22日の記事によると、海外の暗号資産の会社の中には、PHPを使っていない、または影響が見つからなかった、と説明した会社がありました。ただし、これは報道で確認できる範囲の、一部の会社の説明です。

入口2：開くサイトそのもの（CZ氏の呼びかけ）

CZ氏（チャンポン・ジャオ氏、バイナンスの共同創業者）の言葉は、同じBitcoin.com Newsの記事が次のように引用しています。

Call me paranoid, but be extra careful visiting ANY web site in the next few days, as some web admins are not always up-to-date with security patches

心配しすぎと言われてもいいが、この数日は、どんなWebサイトを訪れるときも特に気をつけてほしい。Webの管理者が、いつもセキュリティの修正を最新にしているとは限らないから（当校による訳）

記事は続けて、CZ氏が、影響を受けたサイトがログイン情報の盗難や端末への攻撃の入口（vectors for credential theft or device exploits）になりうる、と付け加えたと書いています。

CZ氏の呼びかけは、取引所のサイトに限った話ではなく、どのサイトも、直されていなければ危ない場所になりうる、という注意です。なお、この記事はCZ氏本人の投稿そのものは確かめていません。言葉は報道の引用によるものです。「この数日」は10月22日の報道の時点の言葉で、IPAはその後の10月27日にも注意喚起を更新しています（1章）。

では、サーバーの欠陥が、なぜサイトを開いた利用者の危険になるのか。1章のとおり、この欠陥はサーバーで外からプログラムを動かされうるものです。同じBitcoin.com Newsの記事は、利用者は訪れるサイトのサーバーを直せないとしたうえで、乗っ取られたサイトが、暗号資産の間違った送り先のアドレスを表示しうると書いています。見た目は本物のサイトのまま、表示される中身が書き換えられうる、ということです。

入口3：偽サイト（今回の件とは別に、いつもある入口）

もう1つは、本物のサービスを装った偽サイトです。これは今回のPHPの件そのものではありません。ただ、「どのサイトも気をつけて」と言われるときに、合わせて押さえておきたい入口です。

金融庁は、自分たちのWebサイトの偽物について、次のように注意を呼びかけています（2022年6月掲載、2024年10月更新）。

金融庁ウェブサイトを装い、 銀行口座等の個人情報を不正に入手する偽サイトの存在が確認 されています。

同じページは、正しいURL（アドレス）を必ず確かめるよう書き、偽サイトの本文にあるリンクを開くと、コンピューターウイルスに感染する可能性や、お金の被害にあうおそれがある、とも書いています。

4. 今日、利用者が確かめる3つ

① 使っているサービスの、公式の発表を見る

取引所やウォレットのサービスを使っているなら、そのサービスが今回の件について何か出しているかを、公式アプリや、自分で登録しておいた公式サイトのお知らせで確かめます。メールやSNSで届いたリンクから見に行くのではなく、いつもの入口から見るのがポイントです（②とつながります）。

発表が見つからなければ、「見つからない」と受け止めます。SNSのうわさや推測で、影響がある・ないを埋めません。

② 正しいURLから開く

金融庁は、自分たちのサイトの偽物について、正しいURL（アドレス）を「必ずご確認ください」と呼びかけています。同じように、使っているサービスのサイトも、開いているURLが正しいかを確かめます（ほかのサイトにも当てはめるのは当校の提案です）。毎回URLを読み比べるのが難しければ、正しいURLを一度確かめてブックマークに入れ、次からはそこから開く、公式のアプリから開く、という形にしておくと、確かめる回数を減らせます。Bitcoin.com Newsの記事も、ブックマークした公式サイトを使い、「緊急の更新」をうながすメッセージは無視するよう書いています。

ただし、ブックマークで避けられるのは、偽サイトへの入り間違いです。3章の入口2のように、本物のサイトそのものが直されていなかった場合は、ブックマークから開いても防げません。そこで、同じ記事は、暗号資産の送り先のアドレスを、取引所のアプリや保存しておいたアドレスなど、別の入口で確かめ直すことを挙げています。送る前に、サイトに出たアドレスをそのまま信じず、もう1つの入口と見比べる。これは利用者が自分でできることです。

③ 不審なサイトやリンクを開かない

CZ氏の呼びかけは「どんなWebサイトを訪れるときも特に気をつけて」でした。金融庁のページも、偽サイトにあるリンクを開くとウイルスに感染するおそれがある、と書いています。知らない送り主からのリンクは開かず、①・②の入口から確かめ直します（確かめ直す手順は当校の提案です）。

ログインそのものを守る方法（パスキー）は、月曜の記事で取り上げています。

5. まだ分からないこと

  • 暗号資産の取引所・ウォレットで、今回の脆弱性による被害が出たか。 この記事で調べた範囲では、一次情報で確認できた被害はありません。IPAは10月27日の更新で、「IPAでは国内での攻撃被害の事例については把握しておりません」と書いています（暗号資産に限らない、PHP全体についての記述です）。海外では、Bitcoin.com Newsの10月22日の記事が、その時点で、暗号資産の会社が悪用された、利用者の資金が失われた、という報告は出ていないと書いています。
  • CZ氏の投稿そのもの。 報道の引用で確かめました。投稿の日付と全文は確かめていません。
  • 日本の金融庁などが、今回の件で暗号資産の利用者向けに出した注意喚起があるか。 この記事では見つけられていません。
  • 自分が使っているサービスのサイトがPHPで動いているか、直したか。 サービスごとに違うので、①のとおり、そのサービスの発表で確かめてください。

塾長とミサキ（続き）

解説を読み終えたミサキは、開いていたタブを一つずつ閉じた。

ミサキミサキ
「暗号資産の口座が無いから関係ない、って思ってたんですけど。さっき、銀行とカードのサイト、ブックマークに入れ直しました。メールのリンクから開いてたの、けっこうあったので」
塾長塾長
「発表を見に行く入口も、そこからだな」
ミサキミサキ
「あと、ひとつ引っかかってて。サービスが『影響はありません』って出したら、それで安心していいんですか。自分じゃ確かめようがないのに」
塾長塾長
「サーバーの中を確かめようがない、のは本当だ。だから、発表は見る。でも、それだけに預けない。送る前にアドレスを別の入口で見比べる、みたいに、自分の手元でできる確認を1つ持っておく」
ミサキミサキ
「サイトを信じるかどうかじゃなくて、自分の確かめ方を持つ、ですね」

今日の確認

  • 使っている取引所・ウォレットのサービスが、今回の件で何か発表しているかを、公式アプリかブックマークした公式サイトで見る。
  • よく使うサイトを、正しいURLを確かめたうえでブックマークに入れ、そこから開く。
  • メールやSNSで届いたリンクは開かず、いつもの入口から確かめ直す。
  • 暗号資産を送るときは、サイトに出た送り先のアドレスを、取引所のアプリや保存しておいたアドレスなど別の入口で見比べる。

口座をまだ持っていない人も、銀行やふだん使うサービスのサイトで同じことができます。

この記事の一次情報と確認日

下の資料は、本文を取得して保存した写しと引用を照合しています（確認日：2026年10月28日）。英語の資料の訳は当校によるものです。

一次情報

報道（二次情報）

この記事が確認していないこと

  • CZ氏のX（旧Twitter）の投稿そのもの（日付・全文）
  • 暗号資産の取引所・ウォレットで、今回の脆弱性による被害が出たか（一次情報）
  • 日本の金融庁・警察庁・業界団体が、今回の件で暗号資産の利用者向けに出した注意喚起
  • 個々の取引所・ウォレットのサイトがPHPを使っているか、更新したか

この記事は情報提供のみを目的としており、特定の取引所やサービスへの登録・利用を勧めるものではありません。

連載「ミサキの0からクリプト」

暗号資産をまだ買ったことのない会社員のミサキが、塾長に質問しながら一つずつ確かめていく連載です。第0話から読む →

注意事項・免責事項
本ページは情報提供のみを目的としております。 ご利用時は各自のご判断にて行って下さいませ。 また掲載している情報には細心の注意を払って掲載をしておりますが、正確性および完全性を保証するものではなく、生じた損失には責任を負えませんのでご理解を願います。 ※また予告なしに、掲載情報が変更になる場合も御座います。

公式LINE｜暗号通貨に関する情報を毎週配信

LINEで友達募集中

*LINE ID検索時「@176npczt」

質問・相談なども受付していますので、よろしくお願いいたします。