PHP脆弱性の公開前に情報が先行し混乱　PHP財団が経緯を公表、Chainguardの公開禁止措置違反を批判

世界中の企業・組織が対応に追われているPHPの脆弱性を巡り、開発プロジェクトを支援するThe PHP Foundation（PHP財団）は10月21日、公開前情報の拡散やPoC（概念実証）の先行公開が起きた経緯を公式サイトで公表した。財団は、修正版の公開前に修正済みのイメージを公開したとしてChainguardを批判している。

事案の詳細

PHPの開発プロジェクトは10月21日、未認証の攻撃者によるリモートコード実行（RCE）を可能にする2件の脆弱性に対するセキュリティアップデートを公開した。脆弱性にはCVE-2026-109618とCVE-2026-109619が割り当てられ、いずれもCVSSスコアは9.2だった。

PHP財団によれば、脆弱性の開示に向けた動きは順調だったが、10月20日から21日にかけて問題が発生した。2件の脆弱性の存在が告知に先んじてSNSなどで拡散し、技術的詳細は伏せられていたものの、CVSSスコアなどが誤った状態で共有されていたという。PHP財団は、当初10月22日に予定していたアップデートの公開を10月21日に前倒しした。脆弱性の詳細を公表した瞬間にアップデート可能な状態にするため、アップデートの存在のみを事前に告知する手法を選択したとしている。

ただし即座に公開しなかった理由として、当時は修正プログラムをパッケージ化している最中で、すぐに公開すると多くのユーザーが容易にアップデートできなくなる恐れがあったためだと説明した。こうした状況の中、脆弱性の報告者であるCalifが、PoCが複数のターゲットに対して動作する様子を示した動画を誤って公開したという。財団はCalifに対しては、研究と責任ある開示への謝意を示している。PHP財団は「限定的であるものの、脆弱性についていくつかの追加情報が明らかになった」としている。動画は削除されたが、コピーが拡散した。

さらにPHP財団は、事前にパッチを受け取っていたChainguardが、公開禁止措置を破って10月21日午前7時41分（協定世界時）に、修正を含むビルド済みイメージを公開したと指摘した。これは予定されていた公開の6時間以上前だった。PHP財団は、他のPHPユーザーがリリースを待っている間に、攻撃者がバイナリ形式で修正内容を研究できる状態になったとして批判した。

加えて、出どころは不明としつつ、一部の重要なITインフラ事業者に提供したアドバイスも漏えいした可能性があるという。一方で、SNSなどで拡散したPoCについては、PHPのセキュリティチームが調査した限り、公開時点で機能するPoCは確認されなかったとしている。

一方、ChainguardのCEOは、実環境での悪用の兆候を受けて開示ガイドラインに沿って公開したと説明している。ただし、どこで悪用の兆候があったかや、その根拠は示していない（Socket）。

影響と背景

今回の脆弱性は、PHPを実行するWebサーバーに対して、未認証の攻撃者がコードを実行できる可能性がある重大なものだった。PHP財団は、アップデート配信まで詳細を伏せる方針だったにもかかわらず、Chainguardが公開禁止措置を破ったことが混乱に拍車を掛けたと位置付けた。

対策・今後の展望

PHP財団は一連の出来事を踏まえ、「今後は、同様に複雑な修正が必要な脆弱性が報告された際に、より迅速に解決されるよう、対策を優先的に実施していく」と表明した。また「PHP財団とPHPのセキュリティチームは、ここ数週間で多くのことを学んだ。その経験を永続的で再現可能なプロセスへと転換していく」としている。

さらにPHP財団は、ツールによって防御側・攻撃側の双方がかつてない速さでバグを見つけるようになったとして、対処にはPHPを熟知した経験豊富なエンジニアが必要だと説明。そのためには資金提供が必要として、PHPを使う企業やプラットフォーマーに支援を呼びかけている。

CSRIからのアドバイス

脆弱性対応では、修正プログラムの公開前後に情報が先行して広がり、SNS投稿や動画、配布物の公開手順ミスを通じて断片情報が拡散しやすい。調整期間中の共有資料や事前提供物は、公開禁止措置の順守と公開時刻の統制が重要になる。

例えるなら、家の鍵を直す前に「鍵の弱点の説明書」が先に外へ出回るようなものだ。つまり修正の中身が研究されると、直し終える前に狙われる可能性が高まる。今回は、PoCの動作を示す動画や、修正を含むビルド済みイメージが正式な公開より先に出回ったことが、混乱を広げる一因になったとされる。

まず自社のWebサイトや業務システムでPHPを使っている箇所があるか、担当部署に確認し、停止や制限の状況も含めて一覧化する。次に、PHPの開発プロジェクトが配信したセキュリティアップデートの適用状況を点検し、未適用があれば優先度を付けて作業計画に反映する。

参照: PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表　混乱広げた企業を名指しで批判／The PHP Foundation「Today’s PHP security release and how we’re strengthening PHP security」／Socket「PHP embargo dispute」