話題
2026年10月21日
PHPに深刻な脆弱性、GitHubで緊急パッチ公開 海外勢が対応に追われる
Hacker Newsで、PHPの8.2.35・8.3.36・8.4.27・8.5.12が同時にGitHubへ緊急公開されたスレッドが話題になっていた。Wiz・Calif・OpenAIなどが協調して2か月かけて対応した重大な脆弱性の修正だが、8月24日の報告から9月21日の公表開始までの期間の長さや、Ubuntu・Amazon Linuxなど各ディストリビューションでパッチ配布にばらつきが出たことに、エンジニアたちから戸惑いの声が上がった。個人メンテナーOndřej Surýへの支援の少なさを指摘する声も目立った。
PHPの更新版がGitHubに公開された
出典: github.com / 元記事はこちら
2
海外の名無しさん
2026-10-21 14:00
Wiz、Calif、OpenAIが足並みを揃えて進めた協調開示(coordinated disclosure)みたいだね。php2shell.com、Wizのブログ、Califのページ、OpenAIの発表(まだ非公開)、PHP Foundationのブログ記事(まだ非公開)へのリンクが貼ってある。
24
海外の名無しさん
2026-10-21 14:06
『この2か月、メンテナーや研究者、セキュリティ企業からなる連合を率いて、Webサイトやアプリケーションで使われるオープンソース言語PHPの重大な脆弱性に対応してきた』とあるけど、結局誰かが喋ってバレたんだろ。これってPRのためにRCEを狙った茶番に見える。
25
海外の名無しさん
2026-10-21 14:11
バグを認めるまで1か月近くかかったのは驚き。8月24日にWiz Researchが脆弱性を報告、9月21日になってPHP側がようやく報告を認めて協調修正の開発を始めてる。
26
海外の名無しさん
2026-10-21 14:04
WordPressがそのリストに入ってないのはなぜ？ホスティング・自前ホスティング問わず、ネット上で一番数の多いPHP導入先なんじゃないの？
3
海外の名無しさん
2026-10-21 13:50
詳細を書いたアドバイザリが公開されてるよ。GHSA-w8hw…とGHSA-6wmf…のリンクね。
28
海外の名無しさん
2026-10-21 13:53
『PHPはlongjmp()を使っている』か。それは幸先が良い話だ(皮肉)。
29
海外の名無しさん
2026-10-21 14:05
ざっと読んだ感じ、今回の緩和策があればfpm環境と昔ながらのCGI(mod_phpじゃない方)はまだ影響を受けない、で合ってる?
6
海外の名無しさん
2026-10-21 13:50
ondrej/phpのリポジトリって、普段どれくらいでパッチが当たるか知ってる人いる?
31
海外の名無しさん
2026-10-21 14:01
18分前にアップデートを入れたけど、もう反映されてるよ。
32
海外の名無しさん
2026-10-21 14:01
Ondrejはもう『deb.sury.orgはビルドされ次第パッケージを提供する』と言ってる。Codebergのissueにその発言があるよ。
8
海外の名無しさん
2026-10-21 14:14
今日みたいな日は、Ondrejに少しお金で感謝を示してもいいかもね。Patreonのリンクはこれ。
33
海外の名無しさん
2026-10-21 14:29
月700ドルにも届いてないのか。本気で言うけど、この人のメンテナンスに頼ってる利益率の高い会社なんて山ほどあるはずだ。今回の件が落ち着いたら、みんな自分の会社に『何か還元しろ』って言ってやってくれ。
9
海外の名無しさん
2026-10-21 13:55
とりあえず自分のPHPサイトは全部数時間落とした。Cloudflareの裏にあるから緩和策は効いてるはずだけど、動いてないものは侵入されようがないからな!
34
海外の名無しさん
2026-10-21 14:10
オフラインのサーバーを攻撃する脆弱性に付けるかわいい名前が要るな…『目覚めたら死んでる』とか。
10
海外の名無しさん
2026-10-21 14:04
手元ではUbuntu LTSがまだapt updateで新パッケージを拾ってこない。Laravel Forgeもアップデートしようとする人が殺到して完全に応答なしになってる。
35
海外の名無しさん
2026-10-21 14:25
同じく。apt updateを連打してるけど22.04でも24.04 LTSでも今のところ何も来ない。
36
海外の名無しさん
2026-10-21 14:17
リリースに備える時間はたっぷりあったはずなのに、ひどい有様だな。
12
海外の名無しさん
2026-10-21 13:45
バージョンは8.2.35、8.3.36、8.4.27、8.5.12。今はphp-srcのGitHubで公開されてる。
37
海外の名無しさん
2026-10-21 14:00
見当たらないんだけど。
13
海外の名無しさん
2026-10-21 14:00
『明日セキュリティリリースがあるから備えておけ』みたいな事前通知メール、過去にあったっけ? php.netのアーカイブにそのメールがある。
38
海外の名無しさん
2026-10-21 14:11
多くのベンダーはそれをやるけど、たいてい『パッチ火曜日』みたいに決まったスケジュールでやる。漠然とした『緩和策』だけ先に出すところもあるけど、普通はパッチと一緒に来るものだ。
14
海外の名無しさん
2026-10-21 14:06
Amazon Linux 2023にこのリリースがいつ降ってくるか知ってる人いる?
39
海外の名無しさん
2026-10-21 14:09
ここにスレッドがあるよ。Amazon Linux 2023のGitHub issue。
16
海外の名無しさん
2026-10-21 13:54
Debian trixieはもうアップデートが降ってきた。
40
海外の名無しさん
2026-10-21 14:00
確認した。もう修正版に更新済み。
41
海外の名無しさん
2026-10-21 14:00
bookwormはいつ来るんだ?
17
海外の名無しさん
2026-10-21 13:57
malloc失敗時のチェックとテストを全体に追加したってことか。そもそもLinuxのオーバーコミットのせいで、これって到達可能な状況なのか? 極端に大きいメモリ確保を一回試みるとかでいけるのかな。
42
海外の名無しさん
2026-10-21 14:10
PHPはphp.iniで設定できる上限込みで、自分自身のメモリ使用量を内部で追跡してる。
23
海外の名無しさん
2026-10-21 14:01
何らかの理由でPHPにパッチを当てられない人向けに、脅威を無効化するプロキシを作った。自分たちの古いnginx+php-fpm環境に導入するために書いたもので、せっかくだから共有する。nginx、Apache、Caddyなど主要なサーバーなら大体動くはず。
48
海外の名無しさん
2026-10-21 14:14
ビルドが失敗してるよ、直してくれ。
30
海外の名無しさん
2026-10-21 13:57
>>4への返信。自分より古いバージョンでも同じ状況。でもよく分からないんだけど、フォークにしか存在しないコミットにタグが付けられるのって変じゃない? これは『そのコミットを含むブランチが無い』ってだけの意味で、ちょっと誤解を招く表示なのでは?
59
海外の名無しさん
2026-10-21 14:06
どちらの意味にもなり得る。GitHubがバックエンドのストレージを最適化した結果で、100個のフォークがあっても最初は0フォークの時と同じ容量しか使わない仕組みの副作用だよ。
60
海外の名無しさん
2026-10-21 14:15
mainだろうがmasterだろうが、gitから見ればただのブランチの一つに過ぎない。
47
海外の名無しさん
2026-10-21 14:01
>>21への返信。これってただのClaudeの出力だよね。自分で何か検証した? それともリンクを並べ替えただけ?
66
海外の名無しさん
2026-10-21 14:14
自分がやったことをClaudeに出力させただけで、もう一方のURLに基本情報は書いてある。
67
海外の名無しさん
2026-10-21 14:09
HNは『ただのClaude出力』でしかないコメントを禁止すべきだと思う。
51
海外の名無しさん
2026-10-21 14:17
>>24への返信。期限通りにパッチすら出せてない。Ubuntuはまだ来てない。
72
海外の名無しさん
2026-10-21 14:26
Debianは出てる。ただし現行のstableだけで、oldstableとoldoldstable向けはこれから出る感じ。事前のアクセス権がなくて事前テストができず、協調発表と同時にすぐ出せなかったってことかもしれない。
73
海外の名無しさん
2026-10-21 14:19
最近usnからメールが来たよ。
この話題の背景と論点
今回の脆弱性は、WizやCalifなどのセキュリティ企業とOpenAIが連携して報告した「協調開示」の枠組みで修正されたもので、報告から公表まで約2か月を要している。この種の大規模な協調開示では、影響範囲が広いソフトウェアほど配布経路が多く、Ubuntu・Debian・Amazon Linuxなど各ディストリビューションでパッチの反映タイミングが揃わない点が繰り返し課題になる。スレッドでは、世界中の大半のPHP環境を支えるPPAパッケージを個人で保守するOndřej Surýへの支援の薄さも話題になった。月数百ドル規模の支援しか集まっていない個人が、商用利用も含む広範なインフラを下支えしている構造は、オープンソースの持続性を考える上で繰り返し指摘される論点であり、今回の騒動はその非対称性を改めて浮き彫りにした形だ。
※本記事は海外掲示板 Hacker News のスレッド「Updated PHP version released to GitHub」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。