PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表 混乱広げた企業を名指しで批判

何が起きたのか

PHPの脆弱性への対応が世界中で進んでいます。開発プロジェクトは10月21日夜に修正版（セキュリティアップデート）を配信しました。しかし、その前に一部の企業が情報を先に公開してしまい、混乱が広がりました。PHP財団は21日、経緯を公式サイトで説明しました。

押さえたい数字と事実

• 脆弱性は2件見つかりました。
• セキュリティの深刻さを示すCVSSスコアは、実際は9.2ですが、10.0と誤って共有されていました。
• 当初の配信予定は22日午後11時でしたが、情報漏えいを受けて21日午後11時に早められました。
• Chainguardは、公開禁止の約束を破り、6時間以上早く修正を含む実行環境を公開したとされています。
• PoC（攻撃が実際に動くことを示す例）は、動画の誤公開や拡散で広がりました。

なぜ情報を伏せていたのか

脆弱性の詳しい情報を先に出すと、悪い人がすぐに攻撃に使えてしまいます。そのため、修正版を配るまで詳細を伏せるのが一般的な方法です。今回は修正版の準備に時間がかかり、すぐに配ると多くの利用者が更新しにくくなるおそれもありました。そこで、まず存在だけを知らせる方法がとられました。

なぜ大事なのか

PHPは多くのWebサイトやサービスで使われています。情報が早く漏れると、修正前に攻撃される危険が高まります。財団は、今後は複雑な修正が必要な脆弱性にもより速く対応できるよう、仕組みを整えると表明しました。AIによる脆弱性の発見が増えると見込まれる中、経験のあるエンジニアと資金が必要だとも訴えています。

今後注目したい点

• PHP財団が示す新しい対応の仕組みが実際に機能するか。
• PHPを使う企業やサービスが、修正版への更新をどれだけ早く終えられるか。
• 財団への資金提供が集まるかどうか。