BitGoは、自社プラットフォームは重大なPHPの脆弱性の影響を受けていないと述べている。

写真：Rostislav Uzunov / Pexels

デジタル資産のカストディアンは、深刻度9.2と評価された脆弱性の修正プログラムが展開される中、継続的なセキュリティテストとパートナーシップの成果だとしている。

2026年10月21日（水）· 10:57 EDT · 読了時間2分

セキュリティ分野において

BitGoは、2026年10月21日にウェブ管理者らを慌ただしく対応させることになった一対の重大なPHP脆弱性について、自社プラットフォームは安全だと述べた。

問題となっている脆弱性は、CVE-2026-109618およびCVE-2026-109619として追跡されており、CVSS v4.0スコアは9.2です。

PHPの欠陥が実際に何をするのか

新たに公開された2つの脆弱性は、認証を必要としないリモートコード実行とメモリ開示を可能にする。

リモートコード実行とは、攻撃者がインターネット上の別の場所から、サーバーに任意のコマンドを実行させることができることを意味します。未認証とは、それを行うためにユーザー名やパスワードを必要としないことを意味します。

メモリの開示により、攻撃者はサーバーのメモリ内に存在する、本来外部に出るはずのないデータを読み取ることが可能になり、これには機密情報が含まれる可能性があります。

この脆弱性は、PHP 5.x に遡るサポート対象の PHP バージョンに影響し、ウェブリクエストを処理するほぼすべての PHP インストールが影響を受けます。

PHP財団は、問題が明らかになった同じ日である2026年10月21日にパッチを公開した。PHPを運用している組織には、直ちにパッチを適用するか、影響を受けるシステムをオフラインにするよう指示が出ている。

BitGoは、影響を受けていない状況を、一流のセキュリティ企業との長年にわたる関係によるものとしている。これらの提携は、脆弱性の先を見越した特定とレッドチーミングに重点を置いている。

同社はまた、HackerOneを通じて公開バグバウンティプログラムを運営している。リモートコード実行の脆弱性や顧客資金に直接関連する問題の発見に対して、最大2万ドルの報奨金を提供している。

BitGoはまた、連邦認可のデジタル資産銀行としての地位を確立している。同社は、2億5000万ドルの保険補償に支えられた、侵害ゼロの実績を主張している。

ブロックチェーン取引は一度確定すると、一般的に取り消すことはできません。そのため、サーバー侵害が成功した場合のコストは、たとえば小売業者が顧客のメールリストを流出させる場合とは大きく異なります。

そのため、9.2のスコアが付いた脆弱性がウェブの大部分を支えるソフトウェアを襲ったとき、カストディアンの顧客は迅速な回答を求める。BitGoはパッチが提供された当日に回答を示した。

機関投資家にとって、BitGoの声明は、セキュリティ体制は特定の危機が起きるはるか以前に構築されるものだということを思い起こさせる。企業は、CVEが公開された朝に、何年もかけて築いてきたレッドチームとの関係や公開バウンティプログラムを急に立ち上げることはできない。