ハッカーがPHPの2つの脆弱性を悪用し、2,000ドル相当のビットコインを窃取しました

あるハッカーが、ウェブサーバーの堅牢性を検証するためにオンラインで開催されたチャレンジにおいて、PHP言語の2つの重大な脆弱性を悪用し、2,000ドル以上相当のBitcoin（BTC）を盗み出しました。19時間足らずで行われたこの攻撃は、暗号資産のウォレットを管理するインフラの安全性に伴う継続的なリスクを改めて示すものです。一方で、Bitcoinの市場は約6,000億ドルの時価総額で安定しています。 背景 今回の事件は、デジタル資産を扱うオンラインサービスにとって、ソフトウェアの欠陥が依然として大きな脅威であるという状況の中で起きました。W3Techsの推計によると、ウェブサイトの約75％で使用されているPHPは、2026年10月21日に、PHP2Shellと呼ばれる2つの重大な脆弱性を修正するためにアップデートされていました。CVSSの重大度評価で9.2と採点されたこれらの欠陥は、リモートコード実行（RCE）およびサーバーファイルへの不正アクセスを可能にします。 cloudlandsdev 攻撃時点において、Bitcoinは約80,269ドルで推移しており、CryptoScore Proの2026年10月26日時点のデータによると、時価総額は1.61兆ドルでした。相場は安定しているものの、今回の事件は、特に2024年に施行された欧州のMiCA規則を受けて、規制当局や投資家がハッキングのリスクに対して警戒を強めている状況のなかで発生しました。 事実関係 この攻撃は、 KillaBoi という仮名で知られるハッカーによって実行されました。このハッカーは2026年10月25日 15時47分(UTC)に、0.02511679 BTC(当日のレートで約2,021ドル相当)を奪取することに成功しました。Cryptoastの発表によると、この窃盗はPHP2Shellの脆弱性(CVE-2026-109618およびCVE-2026-109619として参照)を悪用して行われ、標的サーバーの遠隔操作を可能にしたとされています。以下がこの作戦の主要な要素です： 脆弱性の発見から資金の送金取引までを含め、サーバーの侵害にかかった総時間は19時間でした。 標的のサーバーにはWebインターフェースを通じてアクセス可能なBitcoinウォレットが置かれており、その秘密鍵は平文で、または安全でない設定ファイルに保存されていました。 事件発生時のBitcoinネットワークの平均手数料率は0.135 sat/vBで、Cryptoastのデータによれば、資金移動にかかる取引コストは無視できる程度でした。 当初発表されていた内容とは異なり、 KillaBoi が取得した秘密鍵は、報酬に関連付けられたBitcoinアドレスとは一致していませんでした。チャレンジの主催者は、実際にはウォレットの別の階層の鍵をサーバーに置いており、攻撃が検証された後に自ら資金をハッカーに送金していたとのことです。 KillaBoi は、2段階の手法を詳述したエクスプロイトのコードをGitHubに公開しました： サーバーのメモリを枯渇させる第1段階と、その後、残存データを利用して内部アドレスを特定する段階です。 ASLR( Address Space Layout Randomization 、メモリ上の配置を予測しにくくする保護機能)を、偽のデータ構造を構築することで回避する段階です。 彼自身のテストによると、この攻撃は管理された環境では10回中7回成功しましたが、 KillaBoi は、そのエクスプロイトはチャレンジの構成に特化したものであり、他のPHP環境で有効であることは保証されないと明言しています。また、複数の参加者は、チャレンジの大部分の期間においてサーバーの設定に不備があり、脆弱性の悪用が遅れたことを指摘しています。 この個別のケースを超えて、より広範な懸念も浮上しています。サイバーセキュリティ企業CYFIRMAは、 The Hacker News が引用したレポートによると、PHP2Shellに対して脆弱である可能性のある216台のサーバーを標的とした偵察キャンペーンを特定しました。対象には政府、銀行、産業分野が含まれています。21台の侵害されたマシンから実行されたこの作戦は、Lazarusグループに関連する北朝鮮のハッカーによるものとされていますが、この帰属は依然として不確かです。また、Palo Alto Networksは欧州の行政機関に対する攻撃を報告していますが、PHP2Shellの脆弱性が使用されたことは確認できていません。 主要な概念の理解 リモートコード実行（RCE） リモートコード実行（ Remote Code Execution またはRCE）とは、攻撃者が物理的にアクセスすることなく、リモートのサーバーやシステム上で任意のコマンドを実行できる脆弱性です。今回のケースでは、PHP2Shellの脆弱性により、 KillaBoi がHTTPリクエストを介して悪意のあるコードを注入し、サーバーの制御を奪うことが可能でした。たとえば、攻撃者はRCEを利用して暗号資産ウォレットの秘密鍵などの機密ファイルにアクセスしたり、マルウェアをインストールしたりすることができます。 秘密鍵とトランザクションの署名 秘密鍵とは、ビットコインアドレスの所有権を証明し、トランザクションを承認するために使用される秘密の文字列です。今回のインシデントでは、ハッカーはサーバーに保存されていた秘密鍵を入手し、資金を自身のウォレットへ送金するトランザクションに署名しました。この秘密鍵から生成されるデジタル署名によって、トランザクションがブロックチェーン上で有効と認められます。秘密鍵が漏えいした場合、関連する資金は秘密鍵を持つ者であれば誰でもアクセス可能になるため、ハードウェアウォレットやデジタル金庫などを利用して安全に保管することが重要です。 ASLR（ Address Space Layout Randomization ） ASLRは、メモリ上のデータの配置をランダム化することで、ソフトウェアの脆弱性を悪用する攻撃を困難にするコンピュータセキュリティ技術です。PHP2Shellの場合、 KillaBoi はPHPプロセスが残した残留データを利用して悪意のあるデータ構造を再構築することで、この保護を回避しました。このような回避手法は、保護と攻撃手法の間の絶え間ない競争を示しており、ハッカーは開発者が設けた障壁を乗り越えるために手法を適応させています。 CVSSスコア( Common Vulnerability Scoring System ) CVSSスコアは、コンピュータの脆弱性の深刻度を0から10までの範囲で示す標準化された指標です。PHP2Shellの脆弱性(CVE-2026-109618およびCVE-2026-109619)は9.2のスコアを示しており、「重大」に分類されます。このスコアは、潜在的な影響(不正アクセス、コード実行)や悪用の容易さなど、複数の基準を考慮しています。高いスコアは緊急の修正が必要な脆弱性であることを示しており、2026年10月21日に公開されたPHPの修正版(8.2.35、8.3.36、8.4.27、8.5.12)でもそのことが強調されています。 分析:争点 この事件は、単なる2,000ドルの盗難にとどまらず、暗号資産インフラに影響を及ぼす脆弱性の仕組みを示しています。経済的な観点から見ると、PHPの脆弱性の悪用は、攻撃の実行速度と修正の遅さとの間にある構造的な不均衡を明らかにしています。チャレンジのサーバーのように設定が不適切なサーバーは、リモートコード実行(RCE)の注入にさらされやすいため、優先的な標的となります。この攻撃ベクトルは攻撃者にとって限界費用がほぼゼロであり、ここでは、ブロックチェーンのデータによれば、19時間の作業と0.14 sat/vB未満の取引手数料で実行されています。 投資家にとって、即時の影響は限定的にとどまります。今回の盗難は、ビットコインの時価総額（CryptoScore Pro によれば2026年10月26日時点で1,610億ドル）の0.000003%未満にすぎません。しかし、ウェブベースのカストディサービスについては、その安全性が改めて注目されているため、評判への影響が及ぶ可能性があります。ハードウェアウォレットのプロバイダーや規制された取引所などの業界関係者は信頼回復の恩恵を受ける可能性がある一方、ウェブホスティング事業者は同様の損失を防ぐため、セキュリティ監査のコストを自社で負担する必要が生じるでしょう。考えられるシナリオは3つです。ベストプラクティス（PHPの更新、秘密鍵の暗号化）の導入が加速するケース、リスクにさらされているサービスの保険料が上昇するケース、そして明確な経済的制裁がないために脆弱性が放置され続けるケースです。 リスクと不確実性 いくつかの不明点が残っています。まず、PHP2Shell の脆弱性の影響を受けるサーバーの実際の範囲は不確かです。CYFIRMA は216の潜在的な標的を挙げていますが、北朝鮮系の攻撃者（Lazarus グループ）による攻撃であることは確認されていません。次に、KillaBoi によるデモは特定の構成に依存しているため、エクスプロイトの一般化は限定的です。ただし、CVE-2026-109618 および CVE-2026-109619 の重大度スコア（10点中9.2点）は、システミックなリスクがあることを示しています。最後に、Cryptoast のデータからは、侵害されたサーバー上の他の秘密鍵が露出していたかどうか、またチャレンジの枠外で追加の資金が流出していたかどうかを確認できません。 さらに、フランスの Freebox が当初脆弱とされた件は、脆弱性検出手法の限界を示しています。管理者はセキュリティアラートの解釈に慎重であるべきです。特に、PHP のパッチ（バージョン 8.2.35 から 8.5.12）がすべての構成を必ずしもカバーしているわけではないためです。 市場と規制の展望 技術的な観点から見ると、ビットコインは事故にもかかわらず比較的安定しています。24時間で0.21%、7日間で3%の下落にとどまっています（CryptoScore Pro、2026年10月26日）。市場全体は中立的で、Fear & Greed指数は50/100です。この回復力は、2021年のPoly Networkのハッキングのような大規模な過去の事件への反応とは対照的です。当時の損失は6億ドルを超えました。欧州の規制枠組みであるMiCAは、抑制的な役割を果たす可能性があります。暗号資産サービス事業者にセキュリティ監査を義務付けることで、ソフトウェアの脆弱性にさらされるリスクを理論上は低減します。米国では、SECはまだこの事件に対応していませんが、2020年のSolarWinds事件などの前例からすると、規制当局が重要インフラの脆弱性に関する透明性報告を求める可能性があります。 7日間で-4.3%とより大きく下落したイーサリアムと比較すると、ビットコインは価値の保存手段としての地位の恩恵を受けており、運用上のリスクに対する感応度は低いと思われます。ただし、今回の事件は、PHPなどのアプリケーション層のセキュリティが、分散型と評価される資産においても依然として弱点であることを改めて示しています。 要点 PHP2Shellの脆弱性の悪用により、19時間足らずで2,000ドル相当のビットコインが窃取されました。これは、設定が不適切なサーバーを狙う攻撃の迅速さを示しています。 脆弱性（CVE-2026-109618およびCVE-2026-109619）の重大度スコアは9.2/10と高いものの、実際の影響はサーバーの個別の設定に左右されます。 CryptoScore Proの2026年10月26日のデータによると、ビットコイン市場は事件後も安定しており、時価総額は1,610億ドルで変わりませんでした。 特に公開されているWebサービスにおいて、システミックリスクは依然として残っています。一方、規制当局（MiCA、SEC）はサイバーセキュリティの要件を強化する可能性があります。 CYFIRMAが報告した偵察活動にもかかわらず、Lazarusグループなどの国家関連主体による攻撃であるという帰属は確認されていません。 今後の被害を抑えるため、PHPの修正版（バージョン8.2.35から8.5.12）を遅滞なく適用する必要があります。