Juhyung Park

【PHPセキュリティ問題　時系列順まとめ】 今回のPHPの事案を時系列順にまとめてみました。 ---- 2024年：PHPの潜在的な脆弱性を発見 外部監査をきっかけにメモリ管理の問題を認識。 しかし、修正方針がまとまらず約2年間対応が停滞。 ↓ 2026年8月：重大な任意コード実行リスクが判明 Calif（セキュリティ企業）やOpenAIなどが、認証なしで任意コード実行（RCE）が可能な攻撃経路を報告。 PHP開発チームが修正を最優先で進める。 ↓ 10月21日 0時頃：脆弱性情報が事前流出 修正パッチ公開前に、2件のCVE番号がHacker Newsへ投稿され、←何してんの それがSNSや掲示板にも拡散。 ※この時点では技術的な詳細は含まれていなかった。 ↓ 10月21日 4時30分：PHP公式が緊急告知 情報流出を受け、パッチ公開予定を22日から21日23時（日本時間）へ前倒し。 ↓ 10月21日 5時頃：攻撃実証動画が誤公開 Califが攻撃の動作動画を誤って公開。←最高にカス、バカ すぐに削除されたものの複製が拡散し、攻撃コードの開発が加速。 ↓ 10月21日：研究者らによる未検証情報が拡散 パッチ公開前に、@ J4ck3LSyN などによって脆弱性の原因や再現方法をSNSなどで発信する動きが発生。←余計なことをするな ↓ 10月21日 16時41分：修正済みバイナリを先行公開 Chainguard（セキュリティを専門とする米国企業）が公開予定の約6時間前に修正済みコンテナイメージを配布。←最大最悪のカス、超絶ルール違反 これにより攻撃者によるパッチの差分解析が可能な状態に。 ※PHP Foundationもこれを一方的なエンバーゴ違反（事前に取り決めた情報の公開禁止期間を守らないこと）と明言しています。 ↓ 10月21日：国内外でサービスの緊急停止が相次ぐ 修正パッチがまだ提供されていないため、国内外のWebサービスや政府機関が予防措置として一時停止・メンテナンスを実施。 ↓ 10月21日 23時頃：PHP公式が修正版を公開 CVE-2026-109618、CVE-2026-109619への修正を含むPHP 8.2〜8.5の更新版を公開。 ↓ 10月22日：情報流出と管理体制の問題が焦点に PHP Foundationが、2024年からの修正停滞を組織的な失敗と認める。協調的な脆弱性開示が崩れた経緯も問題視される。 ---- 【結論】人災。 特に、 ⚠️ Califが攻撃の動作動画を誤って公開したこと ⚠️ Chainguardの勝手な判断による修正済みバイナリを含むコンテナイメージの公開 が最悪。終わってます。