ウェブサイトの裏側を動かすPHPというプログラムに重い穴が見つかり、ゲームや銀行のサイトまで一斉に止まった騒ぎから一夜明けて、ネットの怒りがひとりの研究者へ集まりはじめました。

修正版が出る前に、穴の中身を表へ出した人がいる、と名指しされています。

「国際指名手配もんだろ」という声まで出ていて、腹が立つのは無理もありません。

あの夜は、サイトを止めて夜通し対応に追われた技術者も、大勢いたんです。

ところが、PHPの開発を支えるPHP財団が自分で書いた経緯の説明を読むと、修正前に情報が外へ漏れた入口、つまり漏れ口は1つではありませんでした。

今回は、修正前に漏らしたのは誰だったのかを、財団が挙げた4つの漏れ口から、わかりやすく解説していきます。


財団の経緯説明に並ぶ4つの漏れ口

今回見つかった穴は2つあって、どちらも、外の誰かがログインもせずにサーバーの上でプログラムを動かせてしまうおそれのあるものでした。

財団が修正版を出したその日のうちに英語で公開した経緯の説明によると、漏れが起きた順番は、日本時間でこうなります。

  • 10月21日0時ごろ、2つの穴に振られた整理番号が、海外の掲示板やSNSで出回る
  • 同じ日の5時ごろ、穴を報告した会社のひとつのCalifが、攻撃が通る様子の動画を誤って公開する
  • 8時ごろから、一部の重要なインフラの会社に伝えた守り方の助言も、外へ漏れたかもしれない
  • 夕方、修正版を事前に受け取っていた配布会社のChainguardが、約束の時刻より6時間以上早く公開する

海外の報道によると、整理番号を最初に書き込んだのは、技術者が集まる掲示板Hacker Newsのある利用者で、その書き込みはのちに消されたそうです。

番号が出回った段階では、穴の中身はまだ漏れていなかったと、財団は書いています。

それでも番号に、間違った公開日時と、実際より重い危険度の点数がくっついて広まったため、PHPの開発チームは修正版の公開を1日早めて、21日の23時に決め直したとのこと。

Xでは「諸悪の根源」という言葉まで添えて、修正版より先に攻撃の手順を表へ出したとされる海外の研究者の名前が回っています。

ただ、財団の文書はその人を名指ししていません。

財団が書いているのは、Califの動画のコピーがSNSに出回り、それをきっかけに攻撃の試作品があちこちで作られて、21日に出回る数が増えた、という流れでした。

ネットで名前が挙がっている研究者の件は、この試作品が出回った段階の話として語られていて、上の4つの漏れ口とは別の話です。

 

先行公開は罪になるのか

では、修正前に穴を表へ出した人は、罪に問われるのでしょうか。

今回破られたのは、エンバーゴと呼ばれる約束です。

穴を見つけた人と直す人が、修正版が出る日時までは誰にも話さないと決めておく取り決めのことで、財団の文書もこの言葉を使っています。

穴の存在だけが先に知れ渡れば、直す部品が届く前の世界中のサイトが、無防備なまま狙われかねない、というのがこの約束の考え方。

財団によれば、今回の約束も、予定日の2日前までは、うまく回っていたそうです。

大事なのは、この約束を結んでいたのが、穴を見つけて報告した側と、修正版を前もって受け取って配る側だったこと。

財団はChainguardについて、何週間も続いた大勢の準備を無視したと、強い言葉で批判しました。

ほかのPHPの利用者がまだ修正版を待っているあいだに、攻撃する側だけが直した中身を調べられる状態になったから、と財団は書いています。

誤って動画を出したCalifも、穴を報告した側の会社。

4つの漏れ口のうち2つは、約束の輪の内側から出ていました。

ところが、この約束は法律ではありません。

財団の文書には、約束を破った誰かを訴える、処分するといった話も、指名手配の前提になる「何の罪にあたるのか」という話も、一行も出てこないんです。

 

海外の件にそのまま当てはまるわけではありませんが、日本にも同じ考え方の決まりがあって、IPA（情報処理推進機構）のガイドラインは、穴を見つけた人に「正当な理由がない限り第三者に開示しないでください」と求めていますが、これも「情報非開示依頼」と呼ばれるお願いの形でした。

同じガイドラインの付録で、法律の専門家が問題になりうると挙げているのは、嘘の情報で信用を落とす場合や、ろくに確かめずに公表して損害が出た場合です。

本当にある穴を先に話しただけで罪になる、とは書かれていません。

約束を破っても、罰はない。

国際指名手配もんだろ、と言いたくなる苛立ちの正体は、たぶんここなんですよね。


財団が2024年に見つけていた穴の兆し

財団の文書によると、今回の穴のひとつは、2024年に行われた外部の監査をきっかけに、財団と契約していた開発者が最初の兆しを見つけていました。

直し方の案はいくつも出たものの、どの案にも、これまで動いていたプログラムが動かなくなる、別の弱点が生まれる、といった問題があったそうです。

決めきれないまま、作業は何か月も止まっては始め直す状態が続きました。

財団は、この遅れを「構造的な失敗」とはっきり書いています。

全員がそろって納得するまで決めない決め方と人手不足、その両方が原因だったそうです。

状況が動いたのは2026年8月11日で、PHPを調べていたセキュリティ会社のCalifと、ChatGPTを作っているOpenAIが、2024年の兆しと原因が同じ穴を、同じ日にそれぞれ報告しました。

そこから修正版が出る10月21日まで、約束の輪の中で秘密を守る期間が2か月あまり続いています。

報告した会社、別の調査会社、修正版を前もって受け取る配布会社と、知っている人の数はそのあいだに少しずつ増えていきました。

 

財団が書いた流れとは別の話もあります。

Amazonのセキュリティ担当は公式ブログで、攻撃を集めるために置いたおとりのサーバーに、番号が出回るより前の10月17日、この穴を狙う攻撃の試みが届いていたと書いていました。

番号が出回る前から、この穴を知っている攻撃者がいた、ということ。

ネットには、公開しなくても穴はもともとあったのだから責めるのはおかしい、という声も出ていました。

穴がもともとあったのは、その通りです。

それでも、知っている人がごく一部のうちに直す部品をそろえるのと、部品が届く前に世界中が穴の存在を知るのとでは、守る側に残る時間がまるで違います。

今回の騒ぎは、ひとりの研究者の暴走に見えて、実は、穴の原因がはっきりしてからの2か月あまりを、罰のない約束ひとつで守ろうとしていた話でもあったんです。

 

財団が名前を出して責めた1社

財団は経緯の説明の最後に、PHPの安全を守る仕事が、いまも財団にお金をもらっている一握りの開発者と、わずかなボランティアに支えられていると書いていました。

そのうえで、PHPを使ってお金を稼いでいる会社や各国の政府に支援を求め、直し方で行き詰まった重い穴がもっと早く上へ届くよう、決め方を変えている途中だとしています。

ただ、漏らした側について、財団が名前を出して責めたのはChainguardだけでした。

最初に整理番号を書き込んだのが誰なのかも、ネットで名前が回っている研究者が実際に何をしたのかも、財団の文書からは分かりません。

約束を破っても罰がないのなら、せめて、どこから漏れたのかだけは、名前の挙がったひとりではなく4つとも、はっきりさせてほしいですよね。

 

この記事で参考にした情報

  • PHP財団「Today’s PHP Security Release, and How We’re Strengthening PHP Security」（2026年10月21日）
  • マイナビニュース TECH+「PHPの重大脆弱性、情報流出と修正版の先行公開で混乱 – PHP財団が経緯公表」（2026年10月22日）
  • Infosecurity Magazine「Critical PHP Vulnerabilities Leaked Ahead of Scheduled Security Patches」
  • AWS Security Blog「Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot」（2026年10月21日）
  • IPA「情報セキュリティ早期警戒パートナーシップガイドライン」