PHPの脆弱性をHacker Newsにリークした人物が「秘密だと知らなかった」と謝罪 - ライブドアニュース

何が起きたのか

PHPは、ウェブサイトやウェブアプリを作るために広く使われている言語です。このPHPに深刻な弱点（脆弱性）が見つかり、修正プログラムの公開が予定されていました。しかし、その前に脆弱性の情報がHacker Newsに投稿されてしまいました。そのため、修正の公開が前倒しになりました。多くのサイトが、修正作業のために一時的にメンテナンス中になりました。

数字で見るポイント

• 深刻度を示すCVSSスコアは10.0の脆弱性が2件とされています（最高レベルの深刻さです）。
• 脆弱性の名前は「PHP2Shell」です。セキュリティ企業のCalifとOpenAIが、2026年8月にそれぞれ独立して見つけました。
• 修正版は「8.5.12」「8.4.27」「8.3.36」「8.2.35」で、2026年10月21日23時（日本時間）に公開されました。
• 当初の予定は2026年10月22日18時（CEST、日本時間10月23日1時）でした。

もう少し詳しく

脆弱性が公開される前には、「エンバーゴ」と呼ばれる情報公開禁止期間が設けられることがあります。これは、修正プログラムが配られる前に攻撃者が情報を使うのを防ぐためのルールです。今回は、脆弱性の番号や発表予定が先に広まり、その後、攻撃方法を示す動画も流出しました。Califは誤って概念実証の動画を公開し、後に削除されましたがSNSで広がりました。

なぜ大切なのか

修正プログラムが出る前に詳しい情報が広まると、悪い人がそれを使って攻撃しやすくなります。一方で、早く知らせることでサイトの運営者が準備できるという意見もありました。今回の件は、情報をいつ、どこまで公開するかという難しい問題を改めて示しています。PHPを使っている人は、最新の修正版に早めに更新することが大切です。

これから注目したいこと

• PHPの修正版への更新が、各サイトでどれだけ進むか。
• 今後、脆弱性の情報を公開するルールがどのように見直されるか。
• 投稿者の謝罪後も続く、コミュニティの議論の行方。