「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱

一部の重要インフラプロバイダーに提供した緩和策に関するアドバイスが漏洩した可能性があるほか、修正プログラムのフライングによる公開も発生した。

関係者間で調整された日時から6時間以上前に、Chainguardが修正を含むコンテナイメージを公開。攻撃者に修正内容を分析する時間を与えることにつながったとPHP Foundationは批判している。

同団体は、数年にわたり抱えてきた深刻な問題へ対処したことを振り返り、トレードオフをともなう複雑な脆弱性にも迅速に対応できるようプロセスの見直しが行われ、体制の改善が進んでいると説明。

一方で、PHP自体のセキュリティ対策は、少数の開発者グループと、わずかなボランティアの支援に依存しているとリソース不足の窮状を訴えた。

意思決定やパッチのレビューにあたっては、経験豊かな人材が不可欠であり、問題解消に向けて資金援助などを呼びかけている。

（Security NEXT - 2026/10/22 ）ツイート