「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱

修正にあたっては、後方互換性や性能、あらたなサービス拒否の脆弱性の発生、調整が難しいサードパーティ製機能拡張への影響など、課題が山積。

また意思決定のしくみや人員不足による構造的な問題を背景に、これら問題の修正方針を決定できず、修正作業において数カ月にわたり停滞と再開を繰り返し、対応の長期化につながったとしている。

その後、組織体制の見直しなどを図り、2026年7月30日にCalifが「PHP」の監査を開始。2026年8月11日にCalifとOpenAIから同じ根本原因に起因するリモートコード実行の問題がそれぞれ報告されたことで最優先事項に浮上した。さらに8月24日にはWiz、9月18日にはOpenAIから追加の攻撃経路が報告されている。

脆弱性の公表に向けた調整は当初順調に進んでいたものの、公開2日前より混乱が生じていた。10月20日にCVE番号などの情報がSNSなどで流通したことを受け、修正版の公開を24時間前倒しし、当初予定していた22日から21日に変更した。

さらにCalifが攻撃の実証動画を誤って公開。削除されたものの、動画によって限定的ながら追加情報が明らかとなり、動画のコピーがSNSなどを通じて拡散。実証コードの開発に拍車をかけた。

（Security NEXT - 2026/10/22 ）ツイート

「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱

関連リンク

PR

関連記事