Quỹ PHP công bố diễn biến việc công bố sớm lỗ hổng PHP, chỉ trích các công ty gây hỗn loạn

何が起きたのか

PHPに2つの脆弱性（プログラムの弱点で、悪用されると危ない穴）が見つかりました。開発チームは2026年10月21日夜に修正版（アップデート）を配信しました。しかし、その前に一部の企業が情報を外に出してしまいました。そのため、多くの企業や組織がWebサイトやサービスを止めて対応しています。

知っておきたい数字と事実

• 脆弱性は2件。そのうち1件（CVE-2026-109618）は2024年の時点で兆候が見つかっていた。
• 危険度を示すCVSSスコアは、実際は9.2だが10.0と間違って書かれていた。
• アップデートは当初の予定（22日午後11時）より早め、21日午後11時に配信された。
• 情報の漏れは21日午前5時ごろ、動画が誤って公開されたことから本格化した。

なぜ情報を隠していたのか

脆弱性の詳しい情報は、修正が配られるまで伏せるのが普通です。すぐに公開すると、攻撃する人がその穴を悪用できてしまうからです。また、修正版を準備している途中に公開すると、多くの利用者が素早く直せなくなる恐れもあります。今回は、AIを使ったセキュリティ調査で見つかったことも話題になりました。

なぜ大事なのか

PHP財団は、一部の企業が公開禁止の約束を破ったことを名指しで批判しました。修正が配られる前に攻撃のヒントが広まると、悪い人が先に攻撃できてしまいます。財団は今後、同じように複雑な修正が必要な弱点が見つかったときに、もっと早く対応できる仕組みを作ると話しています。そのためには、PHPに詳しい技術者と資金が必要だとも呼びかけています。

今後注目したいこと

• PHPを使う企業が、修正版をどれだけ早く入れられるか。
• 財団が新しい対応の仕組みをどのように作るか。
• AIによる弱点発見が今後さらに増えるかどうか。