PHPの脆弱性をHacker Newsにリークした人物が「秘密だと知らなかった」と謝罪

ウェブサイトやウェブアプリの開発に広く使われているプログラミング言語「PHP」に深刻な脆弱(ぜいじゃく)性が見つかったことで、日本時間の2026年10月21日23時にセキュリティ更新プログラムおよび詳細情報が公開されることがアナウンスされ、多くのウェブサイトやサービスが緊急メンテナンス入りする騒動に発展しました。この件はもともと、PHPセキュリティチームがパッチを公開予定でしたが、ソーシャルニュースサイトのHacker Newsで脆弱性情報が漏えいしたため、前倒しになりました。これを投稿したユーザーがHacker Newsに再度登場し、「PHPの情報公開禁止について何も知らず、とんでもない形で裏目に出た」と騒動に対して謝罪しています。

Tell HN: I unknowingly broke the PHP RCE embargo. I am sorry. | Hacker News
https://news.ycombinator.com/item?id=50193416

Hacker Newsのディスカッション投稿「Tell HN」において、petecooperというユーザーが2026年10月20日に「信頼できる情報筋によると、CVSS(セキュリティ上の深刻度)スコアが10.0のPHP RCE脆弱性2件に関する発表が、2026年10月22日18:00 CEST(日本時間10月23日1時)に予定されているとのことです」と投稿しました。petecooper氏は情報筋からの引用として「確たる証拠はありませんが、PHPを本番環境で運用している場合は、優先的にアップデートする準備をしておいた方が良いでしょう」と記載しています。

今回発見されたPHPの重大な脆弱性「PHP2Shell」2件は、セキュリティ企業のCalifとOpenAIがそれぞれ独立して2026年8月に発見していたことが報告されています。PHPセキュリティチームはアップデートを配信予定でしたが、パッチ公開前に脆弱性の識別番号や発表予定などが広まり、その後は攻撃方法を示す動画なども流出したことで、修正前のPHPが攻撃者に狙われるリスクが高まりました。その後、Califが脆弱性の概念実証を示す動画を誤って公開し、動画は削除されたもののSNS上で拡散されました。さらに、公開された情報を手がかりに別の研究者が脆弱性を再現したと報告するなど、パッチ公開前に脆弱性の詳細が明らかになっていきました。

petecooper氏の投稿に対し、「脆弱性情報は公開禁止のはず」「こんな形で発表するのは、誰もが自分のエージェントを使って脆弱性を突き止め、悪用するよう促しているようなもの」と非難する返信が寄せられました。一方で、「既にXで発見されて拡散されている」という意見や、パッチが公開される前にサイト運営者が対処できるように広く知られるべきというコメントもありました。

結果として、PHPセキュリティチームは予定していたアップデートを前倒し、2026年10月21日に緊急のセキュリティ更新プログラムを公開すると発表しました。日本の各種ウェブサイトも緊急パッチを適用するべく一時的にメンテナンス状態に移行し、最終的にPHP2Shellに対処する緊急アップデート「8.5.12」「8.4.27」「8.3.36」「8.2.35」が日本時間の2026年10月21日23時にリリースされました。

PHPが緊急アップデート「8.5.12」「8.4.27」「8.3.36」「8.2.35」をリリース - GIGAZINE

その後、petecooper氏が改めてHacker Newsの「Tell HN」に投稿し、「PHPの脆弱性について投稿した件が、情報公開のスケジュールにかなりの影響を与え、作業負荷が増加したことを承知しています。本当に申し訳ありません。自分の行動について全責任を負います」と謝罪しました。petecooper氏は投稿時点で、今回の脆弱性にエンバーゴ(情報公開禁止期間)が設定されていることについて何も知らず、情報提供者およびその人物の情報提供者からもエンバーゴはないと聞いていたとのこと。petecooper氏自身もPHPリリースサイクルに従ってソースコードからコンパイルを行っているため、同じような立場にある人々に、アップデートの重要性や緊急性を認識してもらうことを意図していたそうです。

Hacker Newsではpetecooper氏を擁護するような声も多く、「知らされていなかったエンバーゴを破った責任を負えるはずがありません」という指摘や、「あなたは自分にとって身近な情報に反応しただけで、全責任を負うという表現には異議を唱えられるべきです」とする意見などが寄せられています。petecooper氏は「一部のメディアは、私が善意で投稿した内容が、情報公開禁止措置の撤廃や、事前に合意されたスケジュール変更のきっかけとなったと報じています。それ以来、よく眠れていません。謝罪して自分の責任を認めるのは、私にとって新しい行動方針です。今夜は眠れるといいのですが」と述べています。

なお、petecooper氏はフリーランスのコンサルタントで、今回の騒動に関係するどの団体とも一切のつながりや提携関係はないとのことです。