「この男に何かあったら終わり」と評されるPHPの保守とパッチの自動化を行うボランティア「オンドレイ・スーリー」氏とは何者か？

2026年10月、世界中のウェブサイトの約70％で使われるプログラミング言語の「PHP」に深刻な脆弱(ぜいじゃく)性が2件見つかったことが明らかにされました。この対応に陰から尽力した開発者に、海外メディアThe Atlanticのチャーリー・ワーゼル記者がインタビューを行いました。

The Man Who Saved the Internet Yesterday - The Atlantic
https://www.theatlantic.com/technology/2026/10/man-who-saved-internet-php-vulnerability/689123/

今回の脆弱性はOpenAIの最先端モデルを使用したセキュリティ研究者によって発見されたものです。攻撃者がこの脆弱性を悪用すればサーバーを完全に制御し、内部にあるあらゆるデータを盗んだり、サイトを停止させたりすることが可能でした。

PHPを保守・管理する組織であるPHP財産は脆弱性について少し前に把握していましたが、パッチをリリースする前に情報がネット掲示板に流出したため、パッチを作成してリリースする必要があるPHP財産と、パッチを適用する必要がある世界中の開発者、そしてその間に脆弱性を悪用しようとする攻撃者による競争が始まりました。ホスティング企業のCloudflareは、脆弱性公表後の悪用試行が数百万件単位に増加したと報告しています。

パッチを作成する側として尽力したのが、チェコに住む開発者のオンドレイ・スーリー氏です。スーリー氏はPHP財産で働いているわけではありませんが、非営利団体Internet Systems ConsortiumでDNSエンジニアリング部門のディレクターを務める本業の傍ら、ボランティアとしてパッチを保守し、その作成を自動化する支援をしています。ワーゼル氏は「彼の仕事と、ほかのほんの数人の仕事によって、数え切れないほどのウェブサイトや組織が脆弱性を迅速に修正できました。この48時間で、彼はインターネット全体の陰の英雄といっても過言ではない存在になりました」とスーリー氏を評価し、氏へのインタビューを敢行しています。

ワーゼル：この72時間に何が起きたのか、専門知識のない人にも分かるように説明してください。

スーリー：今週初め、PHPプロジェクトからプログラムに重大な脆弱性があると通知されました。そして今後公表される予定だった脆弱性の情報が誰かによって漏えいしたことが明らかになり、PHPプロジェクト内部で、リリースの予定を2日前倒しする必要があると判断されました。予定が早まったため、少し大変なことになりました。

ワーゼル：オンラインでは大きな騒ぎになっているにもかかわらず、ご自身にとっては、この48時間はそれほど大変ではなかったとおっしゃっていました。外から見ると意外です。「この問題を修正する責任を負っている人が1人いて、その人は寄付サイトを通じて自分の生活費を賄っている」といった投稿を何度も目にします。多少誇張されていたのかもしれませんが、あなたの仕事が何百万人もの人々を助けていたという点では、ある程度事実ですよね。どうして、あなたにとっては大変な時間にならなかったのでしょうか？

スーリー：理由はいくつかあります。1つは、私がこの仕事を20年以上続けていることです。私が行っている作業の多くは自動化されています。しかし、私にとって大変なことにならなかった最大の理由は、実は私自身がPHPを実行しているシステムを1つも持っていないことです。インターネットのユーザーに対して責任を感じていたのは確かですが、今回はパッケージを準備する時間がありました。

ワーゼル：それはかなり驚きですね。

スーリー：それに、私がいなくても、人々はほかの入手先からPHPを入手して、自分でコンパイルすることはできたでしょう。ただし、誰にとっても作業が複雑になっていたはずです。また、PHPをすぐにアップグレードできるだけの技術を持っていない人もいます。PHPプロジェクトが行ったのは、この言語のソースコードをリリースすることです。私が行っているのは、そのソースコードを、人々が自分のサーバーにインストールできる「パッケージ」と呼ばれるものにする作業です。これは非常に便利で、より速く作業でき、インストールを自動化することもできます。同じパッケージを数百台、数千台のサーバーにインストールできるので、自分でコンパイルする必要もありません。私が対応できなかったら、もっと時間がかかっていたでしょうし、必要な技術を持っていない人もいたはずです。実際のところ、感謝すべきなのはPHPプロジェクトです。脆弱性について事前に知っていて、一般公開前にアクセスできる秘密の仲間たちの一員として、私を招き入れてくれたのですから。

ワーゼル：招待されたとき、本当に「やばいことになった」と思いましたか？

スーリー：私は人生のある段階で、「これはまずい。修正しなければならない」と思っていました。しかし、少なくとも私自身はパニックにはなりません。多くの人にとってはパニックを引き起こす出来事でしたが、私としては「問題が発生した。解決する必要がある。こうやって解決しよう」という感じでした。そして、きちんと準備する時間もありました。もし十分に準備する時間がなかったら、大きなストレスになっていたでしょう。私の立場からすると、ストレスはありませんでした。私はボランティアとしてこれをやっているので、もし私がバスにひかれて死んだとしても、あとは誰かほかの人の問題になるからです。

ワーゼル：サイバーセキュリティやオープンソースソフトウェアの世界について記事を書こうとするたびに、あなたのように情熱を持ってこの仕事をしているメンテナーのグループに出会います。多くの場合、誰もその人たちの名前を知りません。しかし、例えばあなたがバスにひかれたとして、あなたの代わりを務める人たちはいるのでしょうか？

スーリー：実は、私は不測の事態に備えた計画を考えています。ソフトウェア企業FreexianのRaphaël Hertzogとも話し合っています。私の強みは、豊富な専門知識があり、何をどう操作すれば動作するのかを理解していることです。しかし、Freexianにも豊富な専門知識があるので、何かあった場合には引き継ぐことができるでしょう。昨日から、人々が少額の寄付や、かなり大きな金額の寄付までをものすごい勢いで送ってくれています。寄付してくださった皆さんに感謝したいです。

ワーゼル：今回、これほど迅速にパッチが適用されていなかったら、どうなっていたでしょうか？

スーリー：さまざまなことが起こり得たでしょう。最も基本的なものとしては、サイトが荒らされたり、停止させられたりすることです。これは今、インターネット上で毎日のように起きています。もう1つ起こり得るのは、誰かがアクセス権を手に入れ、これらのデバイスを利用してボットネットを運用することです。今では、そうした行為をしているのは主に組織犯罪だと思います。地下室にいる個人が面白半分でやっているような話ではありません。こうした人々には、ボットネットのサービスを販売したり、利益を得るためにサーバー上で仮想通貨のマイニングを行ったりする金銭的な動機があります。そして、こうしたことは今でも起こり得ます。すべての人がPHPにパッチを適用し、アップデートを済ませているわけではないからです。

ワーゼル：Xで、すべてのPHPリリースにパッチが適用されているわけではなく、インターネットの3分の1は、事実上、永久に壊れた状態か脆弱な状態にあるという投稿を見ました。これは正しいのでしょうか？

スーリー：その最初の情報は正しくありません。古いバージョンにもパッチを適用する方法はあります。

ワーゼル：つまり、インターネットの3分の1が永久にお手上げというわけではないのですね。

スーリー：はい、それは正確ではありません。十分に対処する意思があれば、古いバージョンのPHPであってもアップデートできます。

ワーゼル：インターネットの特定の分野では、インフラがたった1人か2人に大きく依存していることに驚かされます。すべてが非常に脆弱であり、懸念すべき状況です。どのような変化を望んでいますか？

スーリー：私がオープンソースに取り組み始めた頃は、楽しかったです。そして、今でもある程度は楽しいです。しかし、環境は変わりました。オープンソースは、ときに搾取されているように感じます。私が望んでいるのは、オープンソースに取り組む人々が、自分たちの仕事や、そこに費やした何時間もの労力に対して、その恩恵を最も受けている人々から正当な報酬を受け取れる、新しい仕組みを見つけることです。企業には、これが搾取であると認識してほしいです。どのような搾取も持続可能ではありません。このまま続けば、最終的には悪い結果を招くでしょう。オープンソースに取り組む人々は、いずれ実際に何かをする意欲を失ってしまうからです。

ワーゼル：インターネット全体が、あなたの尽力に感謝しています。このような状況で、一般の人々がインターネットのセキュリティを向上させるためにできることは何かありますか？

スーリー：専門家を頼ることをおすすめします。危機に直面したとき、私たちは皆そうします。専門家に相談し、専門家を信頼するのです。人々を頼り、このような問題に対処している人たちは、何をすべきかを理解していると信頼してください。私たちにできるのは、それだけです。