PHPの開発者らは、ソフトウェアサプライチェーンセキュリティ企業のChainguardが、公式開示の予定に先立ってオープンソースのスクリプト言語PHPの重大なバグを事実上明らかにしてしまったと非難しています。
PHPのメンテナーは水曜日、「PHP2shell」と総称される2件のバグに対する緊急パッチを公開した数時間後に、脆弱性の発見と修正の経緯を説明するブログ記事を公開しました。
ブログによると、これらのセキュリティホールを8月から9月にかけて発見したのは、Calif、OpenAI、Wizの研究者です。3社はいずれも、AIモデルを使って脆弱性を見つけたと説明しています。脆弱性は現在CVE-2026-109618とCVE-2026-109619として管理されており、認証されていない攻撃者がPHPを実行するサーバー上でコードを実行できる可能性があります。
PHPは公開Webの広範囲を支えているため、事態は特に深刻です。また、ブログの「情報漏えいと開示の混乱」の項が、ソフトウェアサプライチェーンの保護を目的に、オープンソースコードの堅牢化を手がけるChainguardを混乱の原因として非難している点には、皮肉も漂います。
PHP開発者によると、問題の発端は火曜日の協定世界時（UTC）15時ごろでした。「2件のCVE IDがオンラインフォーラムやSNSで出回り始めた」うえ、公開時刻やCVSS深刻度についても誤った情報が流れたといいます。この時点では、技術的な詳細は漏れていませんでした。
しかし、この噂を受けてPHPのメンテナーは、重大な欠陥について事前に注意を呼びかけるとともに、予定していた開示を木曜日から水曜日へ1日前倒ししました。
PHP Foundationのブログは次のように説明しています。「ディストリビューターはまだ修正版のパッケージ化を進めていたため、すぐに公開すれば、簡単に更新できる手段を持たない多くのユーザーが取り残されたでしょう。公開を1日前倒しにしたのは、迅速な対応、準備期間の確保、そして脆弱性の開示時に誰もが簡単に更新できる手段を用意することの、最善の折衷案でした」
その数時間後、Califがバグに関する概念実証（PoC）エクスプロイトの動画と「限定的ながら追加の」情報を「誤って」公開したということです。
PHPのブログには、こうも書かれています。「10月20日23時（UTC）ごろから一部の重要インフラ事業者に提供し始めた緩和策の助言も、漏れた可能性があります」。ただし、これらの事業者名は明かしていません。そのうえで、ブログはChainguardを厳しく批判しています。
「10月21日7時41分（UTC）、Chainguardは協調的な公開の6時間以上前に、一方的にエンバーゴを破り、修正を含むビルド済みイメージを公開しました。Chainguardは他のディストリビューターと同様、脆弱性の開示と同時にユーザーが更新できるよう、事前にパッチを受け取っていました。その結果、他のPHPユーザーが公式リリースを待っている間に、攻撃者は誰でもバイナリ形式の修正を解析できる状態になりました。これは、協調的な開示に向けて多くの関係者が数週間かけて進めてきた作業を無視する行為です」
ChainguardのCEO「我々が判断した」
ChainguardのCEOであるDan Lorenc氏は水曜日、The Registerの取材に応じました。時系列には異論を唱えない一方、自社は「情報を漏らしていない」と主張しています。
「こうしたことは複雑なものです」とLorenc氏は語りました。
Lorenc氏によると、Chainguardは金曜日、バグを発見した研究者の1人から「PHPで何かが起きようとしている」と知らされました。その夜、同氏とChainguardのチームは自社のAIハーネスと最先端モデルを使い、同じメモリ破損の脆弱性を独自に発見したといいます。
必要だったのは「PHPの深刻な脆弱性を見つけて」という「基本的なプロンプト」だけだったと、Lorenc氏は後日のLinkedIn投稿で述べています。
土曜日にChainguardはPHPのメンテナーとの協力を始めました。自社の発見の一部がバグ報告と一致することを確認し、パッチのテストも支援しました。
Lorenc氏はThe Registerに対し、次のように語りました。「あのパッチは並大抵のものではありません。単純な脆弱性ではないのです。実際に動作するパッチを作るのに、本当に何カ月もかかっています。そして月曜日に噂が広まり始め、昨日は一気に事態が悪化しました」
SNSでPoCを公開する人が現れ、他のセキュリティベンダーも実際の悪用を確認したと報告しました。火曜日の深夜、Lorenc氏は修正版を公開することを決め、PHPの協調的開示チャネルにもその計画を伝えたといいます。
「PHPの公式開示を前に被害が出始めていたので、その状況を踏まえて修正版を公開すると判断しました」とLorenc氏は述べました。「協調的な脆弱性開示は、実環境で悪用が確認された場合を除いて行うものです」
同じ火曜日の夜、Chainguardはビルド済みの成果物を公開し、顧客だけでなく誰でもアクセスできるようにしました。「それから今朝目が覚めたら、すべて我々のせいにされていたのです」とLorenc氏は話しました。
Chainguardの早期公開が波紋を呼んだことを踏まえ、今後は対応を変えるかと尋ねると、Lorenc氏は「変えない」と答えました。「この手順と方針は、事態が深刻化して悪用が始まるまで、できる限り調整を続けようという考えに基づいています」と同氏は言います。「残念ですが、我々は本来、みな同じチームです。そして向こう側には、悪事を働く連中がいるのです」
Lorenc氏は、Chainguardのハニーポットが水曜日に、この脆弱性を狙う中国とロシアのIPアドレスを捕捉したことも明らかにしました。
「ソフトウェアに脆弱性があると知らされるだけで、たとえそれがPHPほど大きなものでも、見つけるには十分です」と同氏は語ります。「私自身、金曜日に他の情報なしで見つけました」
「これが新たな常態になりつつあると思います。脆弱性が何かを知らなくても、数時間でエクスプロイトを作れてしまうのです」
CVEの概要と悪用方法について分かっていること
悪用の範囲も、セキュリティ修正のないレガシーシステムがどうなるかも、まだ分かっていません。それでも脅威ハンターたちは、深刻な事態になると予測しています。
Wizの研究者であるSagi Tzadik氏、Shir Tamari氏、Nir Ohfeld氏、Tomer Schwartz氏は水曜日、「悪用に成功すれば、攻撃者は影響を受けるサーバーを乗っ取り、機密データを盗み、稼働中のWebサイトを改ざんできる可能性があります」と警告しました。そのうえで、PHPは世界のWebサイトの70％を支えているという、よく引用される数字にも触れています。
Wizの研究者らはこう書いています。「過去10年間にリリースされたすべてのPHPバージョンが、バージョン5.4まで遡って、少なくとも一方の脆弱性の影響を受けます。攻撃者はリモートから悪用でき、場合によってはかなり容易です。直ちにパッチを適用することを強く推奨します」
2件のバグはいずれも、PHPのメモリ管理とエラー処理に関係し、リモートコード実行（RCE）につながります。リクエストが予期せず終了するとPHP内部の状態が破損し、後続のリクエストがその状態を再利用することで、メモリ情報の漏えいやRCEを招く可能性があります。
VulnCheckの研究者Patrick Garrity氏は、次のように説明しています。「どちらもメモリ破損の脆弱性です。攻撃者がPHPの信頼するメモリを操作できれば、その後のPHPの動作を乗っ取れる可能性があります。今回のケースでは、それがリモートコード実行を意味します」
CVE-2026-109618（GHSA-w8hw-w9fx-j79w）は、メモリ不足状態での破損を介してRCEにつながります。プロジェクトのメンテナーは次のように書いています。「リクエストがちょうど悪いタイミングでPHPのmemory_limitに達すると、PHPが部分的に初期化された内部データを残したまま、後でそれを有効なものとして扱い、メモリを破損させる可能性がありました。mod_phpを使用するApacheでは、認証されていないリクエストにより、アプリケーションコードが実行される前にこの状態を引き起こせます」
CVE-2026-109619（GHSA-6wmf-4rv5-p3rp）は、古い状態の残存を介してRCEを可能にします。PHP Foundationによると、「不適切なタイミングで致命的エラーが発生すると、内部状態が前のリクエストに属していたメモリを指したままになる可能性がありました。同じワーカーが処理する後続のリクエストが、その解放済みメモリを使用する恐れがあります。use-after-freeとワーカーのクラッシュが確認され、報告者はmod_phpを使用するApache上で動作する実際のアプリケーションに対するリモートコード実行を実証しました」ということです。®
