PHP財団が名指しした「6時間のフライング」　攻撃は4日前から来ていた

PHPの重大な穴をふさぐパッチが、10月21日の夜に出た。日本では高市早苗首相がXで「大至急のお願いです」と呼びかけた、あの騒ぎだ。その翌日、PHPを支えるPHP Foundationが経緯の報告を出し、企業の名前を2つ名指しした。CalifとChainguard。約束を破った、と書かれていた。

6時間のフライングで、何が起きたのか

穴は2つ。CVE-2026-109618とCVE-2026-109619。深刻さを示すCVSSは9.2。PHPは世界のウェブサイトの約7割を動かしている。ここ10年に出たPHPは、バージョン5.4までさかのぼって、どちらかの穴の影響を受ける。だから世界中が一斉にパッチ当てに走った。

財団の報告によると、順番はこうだ。10月20日15時（世界標準時）、CVE番号が掲示板に漏れた。同じ日の20時ごろ、調べていたセキュリティ企業Califが、攻撃の実演動画を誤って公開した。動くPoCが映っていた。動画はあとで消された。そして21日7時41分、Chainguardが修正済みのコンテナイメージを公開した。公式の公開まで、まだ6時間以上あった。

財団はこう書いた。「多くの関係者が何週間もかけた、協調的な情報公開に向けた努力を無視する行為だ」。直したプログラムが先に出ると、攻撃者は前のものと見比べて穴の場所を割り出せる。ほかの利用者は、まだ待っている。公開禁止期間の考えからすれば、確かに抜け駆けだ。

「早く出したのが正しかった」という言い分

ChainguardのCEO、Dan Lorencは引き下がらなかった。The Registerに「実際に攻撃を受けている人がいた」と話し、早く出したのは自分の判断だと認めた。そのうえで「もう一度同じ場面に立っても、何も変えない」。ただ財団は、公開の時点で動く攻撃コードは1つも確認できなかったと書いている。食い違っている。

そこにAWSが数字を出した。脅威情報チームが、この穴を狙う攻撃を最初に見たのは10月17日。パッチが出る4日前で、Chainguardのフライングより、さらに4日早い。攻撃者がどうやって情報を手に入れたのかは、分からないという。

もうひとつ、財団自身が書いている話がある。2024年の外部点検の時点で、この問題の兆しはつかんでいた。ただ、どう攻撃できるのかが見えず、動かなかった。実際に動く攻撃の形がCalifから届いたのは2026年8月11日。修正まで2か月以上。公開日を1日前倒ししたきっかけも、CVE番号の流出だった。

静かに進める仕組みのもとで、2年ほど何も直らなかった。急に動いたのは、情報が漏れ始めてからだ。悪いのは隠すやり方そのものではなく、遅いときに誰が前倒しを決めるのかが決まっていないことだと、筆者には見える。

ネットの評判

はてなブックマークでは、ITmediaの記事に293人がブックマークし、55件のコメントが付いた。目立つのは企業への怒りだ。「このセキュリティ企業ダメすぎでは。情報を先に漏らしちゃうとか話にならない」。「フライング企業には各団体が情報渡さないように村八分されそう」という声もあった。

海外も風向きは似ている。Hacker Newsのスレッドには184件のコメントが付き、Chainguardを「無責任だ」と責める声が多かった。ただ、少数派ながら、重大な穴に60日以上の猶予を置くやり方そのものを問う声も出ていた。

財団が怒ったのは、6時間のフライングだ。でも攻撃者は、その4日前から動いていた。