[ITmedia News] PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表 混乱広げた企業を名指しで批判

　世界中の企業・組織が対応に追われているプログラミング言語「PHP」の脆弱性。高市早苗首相がSNSで対応を呼びかけたことから、テレビなどでも盛んに報じられ、これまでになく社会を騒がせている。開発プロジェクトは10月21日夜（日本時間、以下同）にセキュリティアップデートを配信したが、一部の企業・組織は22日時点でも対応のためWebサイトやサービスを停止しており、混乱はいまだ収まっていない。

　今回の脆弱性がこれほどまでに世間を騒がせたのは、その緊急性はもちろん、本来伏せておくべきだった情報の先出しが影響している。PHPの開発プロジェクトは、安全のため脆弱性の詳細をセキュリティアップデート配信まで伏せていたにもかかわらず、一部の関係企業が公開禁止措置を破り、混乱に拍車を掛けたという。開発プロジェクトを支援するThe PHP Foundation（PHP財団）は21日、経緯を公式サイトで公開した。

イメージ画像

　PHP財団によれば2026年に入って以降、PHPの開発プロジェクトはセキュリティ向上を支援するオープンソースプロジェクト「Alpha-Omega」と協力し、米AnthropicのAIモデル「Claude Mythos」によるセキュリティスキャンを実施していた。その後も米OpenAIのツールによる検証を行っていた他、7月から9月にかけてセキュリティ企業の米Califや米セキュリティ企業Wiz、OpenAIによる監査や報告を受けており、今回の脆弱性の発見や詳細の把握につながったという。

　なおPHP財団によれば、脆弱性2件のうち片方（CVE-2026-109618）は、24年の時点で兆候が見つかっていたという。またOpenAIは、2件の脆弱性のうち片方は、Califが「GPT-5.6 Sol」を使って発見したと公表している。ただし、2件のうちどちらかは明らかにしていない。

　脆弱性の開示に向けた動きは順調だったが、10月21日未明に問題が発生した。2件の脆弱性の存在が、告知に先んじてSNSなどで拡散していたという。技術的な詳細は伏せられていたものの、対応の緊急性を示すCVSSスコア（実際のスコアは9.2だが10.0と記載）などが誤った状態で共有されていた。

　当初、PHPの開発プロジェクトは22日午後11時にアップデートを配信する予定だったが、漏えいを受けて21日午後11時へ前倒しに。脆弱性の詳細を公表した瞬間、アップデートが可能なよう、その存在だけ事前に告知しておく手法を選んだ。即座に公開しなかったのは、その時点では修正プログラムをパッケージ化している最中で、すぐに公開すると多くのユーザーが容易にアップデートできなくなる恐れがあったためだ。

　しかし21日午前5時ごろ、Califが脆弱性に関する動画を誤って公開。複数のターゲットに対して実際に動作する概念実証（PoC）を示してしまった。PHP財団は「限定的であるものの、脆弱性についていくつかの追加情報が明らかになった」としている。動画は削除されたものの、すぐにコピーが出回り、PoCが拡散した。

　さらにセキュリティ企業で事前にパッチを受け取っていた米Chainguardも、公開禁止措置を破って6時間以上も早くセキュリティアップデートを含む実行環境を公開したという。PHP財団は「他のPHPユーザーがリリースを待っている間に、攻撃者はバイナリ形式で修正内容を研究可能になった。これは、多くの関係者が協調的な情報公開に向けて何週間もかけて行ってきた努力を無視する行為だった」と批判している。

　出どころは不明だが、一部の重要なITインフラ事業者に提供したアドバイスも、21日朝に漏えいしていたという。ただしSNSなどで拡散したPoCについては、PHPのセキュリティチームが調査した限り「機能的な脆弱性は確認されなかった」としている。

　一連の出来事を踏まえPHP財団は「今後は、同様に複雑な修正が必要な脆弱性が報告された際に、より迅速に解決されるよう、対策を優先的に実施していく」と表明。「PHP財団とPHPのセキュリティチームは、ここ数週間で多くのことを学んだ。その経験を永続的で再現可能なプロセスへと転換していく」としている。

　ただし、サイバーセキュリティ分野は今後も攻撃・防御の双方が激化すると見込んでおり、対処にはPHPを熟知した経験豊富なエンジニアが必要と説明。そのためには資金提供が必要として、PHPを使う企業やプラットフォーマーに支援を呼びかけている。