PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表 混乱広げた企業を名指しで批判

何が起きたのか

PHPの脆弱性は、世界中の企業や組織が対応に追われている問題です。開発プロジェクトは2026年10月21日夜に修正版（セキュリティアップデート）を配信しました。しかし、一部の企業は22日時点でもサイトやサービスを止めたままでした。発表前に情報が外に出てしまったことが、混乱を大きくしました。

押さえておきたい数字と事実

• 脆弱性は2件です。
• 漏えい後、修正の配信は当初の22日午後11時から21日午後11時へ前倒しされました。
• 動画が公開されたのは21日午前5時ごろです。
• 攻撃の手順を示す動画（PoC）が出回りました。ただし財団は、SNSで広がったPoCでは機能する脆弱性は確認されなかったとしています。
• 実際のCVSSスコア（深刻度を表す数字）は9.2ですが、誤って10.0と書かれて共有されました。

なぜ情報を伏せていたのか

脆弱性の詳しい内容が知られると、攻撃者が悪用しやすくなります。そのため開発チームは、修正版が配れるまで詳細を伏せるのが一般的です。今回は、修正を準備している最中に情報が漏れてしまいました。財団は、AIを使った検査でも問題が見つかったと説明しています。

なぜ大事なのか

財団は、一部の企業が公開禁止の約束を破ったと名指しで批判しました。修正前の情報が広がると、対応が間に合わない企業が攻撃を受けるおそれがあります。財団は今後、複雑な修正が必要な脆弱性にも速く対応できるよう、仕組みを作り直すと表明しています。また、支えるための資金提供も呼びかけています。

今後注目したいこと

• 各企業が修正版を入れて、サービスを再開できるかどうか。
• 財団が示した新しい対応の仕組みが、どのように作られるか。
• PHPを支える資金が集まるかどうか。
• AIによる脆弱性の発見が今後さらに増えるのかどうか。