これがPHPの脆弱性を呟いてしまった人か。マジで全世界をデスマに叩き落とした人として後世に語り継がれると思う

何が起きたのか

本来は、見つけた人と開発チームが相談して、修正版ができてから公表する約束でした。しかし、情報が早く漏れてしまいました。ある人物がPHPの穴の詳しい内容と、実際に攻撃できることを示す動画（PoC）をXに投稿しました。これで、攻撃する人が修正前に穴を悪用できる状態になりました。PHPの開発チームは、予定を早めて緊急の修正版を出すしかなくなりました。

主な数字と事実

• 対象の脆弱性は CVE-2026-109618 と CVE-2026-109619 の2件（通称 PHP2Shell）
• 危険度を示す CVSS は 9.2（非常に高い。10が最大）
• 攻撃にログインが要らない「未認証のリモートコード実行」なので、外から好きな命令を流し込まれるおそれがある
• 修正版の緊急リリースは、10月21日14:00 UTC に前倒しされた
• 日本では pixiv、DMM、niconico などが緊急メンテナンスや一時停止に追い込まれた

なぜ前もって公表しないのか

見つかった穴は、すぐ公表すると悪い人に使われてしまいます。そこで、修正版が出るまで情報を伏せておく約束（エンバーゴ）を結ぶのが普通です。今回はこの約束が守られず、対応のための準備期間がほとんどなくなりました。

なぜ大きな問題なのか

PHPはWebサイトでよく使われるので、影響がとても広い穴でした。修正が遅れると、攻撃される危険が一気に上がります。そのため、世界中の管理者や技術者が徹夜で対応することになりました。詳しい内容を先に出す行動は、大きな被害を生むおそれがあるとして、強く批判されています。一方で、研究者の間では再現して公開することも珍しくなく、どこまでが正しい行動だったのかは、今も議論になっています。

これから注目したいこと

• PHPの修正版を使って、各サイトが早く対応できるか
• 攻撃が実際にどのくらい起きたか
• 情報を漏らした人や研究者への対応がどうなるか
• 今後、脆弱性を公表するルールが見直されるか