PHP緊急パッチ公開前に情報漏洩、企業の「エンバーゴ破り」海外で議論
姉妹サイトの新着
PHPの脆弱性(CVE-2026-109618/109619)を修正する緊急セキュリティリリースを前に、協調公開の数時間前にセキュリティ企業Chainguardが修正済みのDockerイメージを独自に公開し、エンバーゴ(情報公開の時期を事前に取り決める協定)を破ったことが話題になった。さらに別のセキュリティ企業Califは、リークを野良攻撃の兆候と誤解し、アニメ風の宣伝動画を公開してしまう一幕も。Hacker Newsでは、Chainguardの対応を擁護する声と、セキュリティ業界の信頼を損なう行為だと批判する声に分かれた。
本日のPHPセキュリティリリースと、PHP財団によるセキュリティ強化の取り組みについて
出典: thephp.foundation / 元記事はこちら
> 10月21日UTC07:41、協調リリースの6時間以上前に、Chainguardが単独でエンバーゴを破り、修正済みのビルド済みイメージを公開した。これはChainguardにとってかなり不名誉な話だ。協調リリース直前の混乱があったとしても、これを正当化する理由が見当たらない。
>>2 彼ら(CEO?)が以前こっちでコメントしてる: https://news.ycombinator.com/item?id=50176735 彼らの立場だったら、今後誰もエンバーゴ中のビルドを共有してくれなくなるんじゃないかって心配になるだろうな。
>>2 Chainguardの立場もわからなくはない。彼らはエンバーゴに参加していて、既に野良エクスプロイトが出回っているのを見て、情報を抑え続けるより公開した方がいいと判断したんだろう。エンバーゴはまだ誰も悪用していない場合に意味があるもので、既に野に放たれているなら、できるだけ早くリリースするのが最善の道だ。
>>2 彼らの説明が本当なら(関連コメントにリンクあり)、別に非難されるような話じゃない。普通エンバーゴが解除されるのは、誰かが早期に情報を漏らした時か、既に実際に悪用されている時だ。だから野良エクスプロイトの証拠を見たのなら、修正を公開するのは何も不自然じゃない。
ステップ1: エンバーゴ解除時にDockerイメージを用意しておくこと。もう2時間経ってるのに、まだ用意できていない。
>>3 それDocker側が管理してるやつじゃないの? PHP財団に責任はないでしょ
>>3 PHP財団が管理すべきだ。Dockerの「公式イメージ」という仕組みは、脆弱性パッチへの対応という点では明らかにまともに機能していない。
>>3 今日知ったんだけど、こういう時のためにイメージをスクラッチから自前でビルドしておくのは本当に大事なんだな。Claude Codeの提案のおかげで事前に対応できてラッキーだった。
> リークと20:00UTC頃の事前告知の結果、報告元のセキュリティ企業の一つであるCalifが、誤って動画を公開してしまった。これが一番意外だった。Califはリークを見て、エンバーゴが破られたと解釈して、慌ててあの(アニメが踊る)宣伝動画を公開した、ということらしい。もっとちゃんとした対応を期待してたんだけどな。
>>4 広報/PR会社が実際にどう連携してるかって、口で言ってることとは関係なく、まさにこういうことなんだよな。
>>4 それってアニメの女の子が踊るあの動画のことじゃないよね?
> PHPセキュリティチームは、リーク後に出回ったPoCを注意深く監視・検証したが、リリース/公開時点で機能するエクスプロイトは確認しなかった。なるほど、でもどれくらい際どいところまで迫ってたんだ? (LLMを使うなどして)本気の攻撃者なら動くエクスプロイトまで仕上げられるぐらいの近さだったのか?
>>6 自分が知ってる限りでは、公開予定時刻の1400UTCの4時間前に、出回っていたセッションバグのエクスプロイトを使って実際に悪用された例がある。セキュリティ方面には全然詳しくないんだけど、彼らは一体何を監視してたんだ?
エンバーゴを破った場合のペナルティって何なの? 今後事前にパッチを共有してもらえなくなるとか?
>>7 他のプロジェクトが、今後Chainguardに先行パッチを共有するのを考え直すきっかけになるかもしれない。
CVE番号を早々に投稿していた人物の話: https://news.ycombinator.com/item?id=50183326 (deadコメント)
関連スレ: PHP2Shell: AIが重大なRCEをPHPで発見 https://news.ycombinator.com/item?id=50180836 / Patch the Planet: エージェントが重大な脆弱性を発見した際の世界的対応調整 https://news.ycombinator.com/item?id=50181175 / 近日公開予定の重大PHPセキュリティリリース(CVE-2026-109618 / -109619) https://news.ycombinator.com/item?id=50172041
真剣な質問なんだけど、レガシーシステムの場合、「AI」の支援を受けた攻撃者が攻撃条件を整えるのはどれくらい難しいんだろう? 1(簡単)〜10(難しい)で言うと。
色々とうまくいかなかったみたいだな。2024年の問題が放置されていたことに加えて、予定されていた公開日より前に複数の関係者が情報を漏らしてしまったという。
>>2 これだけでもう、ChainguardとかそのC-suite(経営陣)が関わってる会社とは絶対に取引しないと決めた。
>>2 これ[1]って本人たちのコメントなのかな?もし既に公開されたエクスプロイトが確認されていたなら、OpenAIとかが立派なプレスリリースを出せるようにするためだけに、パッチを抑え続ける意味はもうないよな [1] https://news.ycombinator.com/item?id=50176735
>>13 Chainguardのイメージを使うには料金を払う必要があるよ。
>>33 今回のケースでは全員に無料で公開されてるよ。 https://news.ycombinator.com/item?id=50176735
>>33 いや、無料で使えるよ。お金を払わないともらえないのは古いパッチ済みバージョンだけ。
>>33 今回の件に関係するものは(有料の対象では)ないよ
>>14 あの動画の話、あちこちで見かけるんだけど、まだどこかで見られるの?
>>15 そうだといいね。新しいルールを作ろうか。Chainguardみたいに意図的にエンバーゴを破る企業には365日のタイムアウトを科すとか。個人的には、かなり無責任な行動だと思う。もしCEOが単独で決めたことなら、SOC2認証の違反になる可能性もある。次は何だ? 「X社のパッチ対応が遅いから、うちの修正バイナリを置いておくよ、安心して、無料だから」ってなるのか?
>>37 複数の企業がそれぞれ違う形でエンバーゴを守らなかったんだと思う。マーケティング目的だったり、単なるミスだったりで。どう対処すべきかは難しい問題だね。
>>52 先行パッチを託されたセキュリティベンダーがエンバーゴを破るのは、セキュリティ研究者個人がエンバーゴを破るよりもずっと悪質だ。
他サイトの新着
>>17 実際に野良エクスプロイトを見たのか? PHP財団のチームはそれを否定していて、機能するPoCは確認していないと言っている。
>>38 昨夜「CVE-2026-109618 / CVE-2026-109619を再現し、ラボ/実地でテスト済み」と広く引用されたツイートを書いた人物が、数時間後に続報で、自分のPoCは「実際の野良」で動くことは証明されていないと認めている。
>>38 Chainguardはおそらく、Califのアニメ女の子が踊る動画を見て、スクリプトキディがPoCを見つけたと解釈したんだろう。
>>36 曲はPetite Meller「High Forever」のMarlon Hoffstadtリミックス。やたら耳に残る。
>>49 うわ、マジか。これ完全に「初めてのPoC」動画を10代前半の子が作ったみたいなクオリティだな。真剣に見られたい会社が作ったとは信じがたい。教えてくれてありがとう。
>>60 どんな馬鹿でも会社は作れるからね。実際、自分も一社持ってるし 🙂
>>60 この馬鹿げた会社の名前をみんなが挙げてくれたらいいんだけど。自分のところではTwitterが見られなくて、みんなが話してるのはこの子供っぽい動画のことばかりだ。この会社とは絶対に取引したくない。信用できなさそうだし、子供みたいな振る舞いをしている。
>>40 > 3. Chainguardはアニメ動画を見て、Califだと気づかずに、エクスプロイトが野に出ていると思い込んだ この部分はちょっと疑問。Chainguardのイメージが出回る12時間以上前に、https://jackalsyn.com/posts/php-up-2026.html が広まっているのを見たし、実際に悪用されているという話も他にもたくさんあった。
>>56 同じ人物が昨夜、自分のPoCは野良での悪用に使えるほど準備できていないと主張する続報ツイートを書いている。 https://x.com/J4ck3LSyN/status/2112753673235501137
>>40 あるいは、あのアニメ女の子の動画は、誰かがCalifの普通の動画に後から編集を加えたものだったのかもしれない。それでもあまり良くはないけど。
>>57 信じられないけど、あのアニメ女の子の動画はCalif公式のバージョンだったよ。 https://calif.io/php2shell/#php-5-4-0-rce
この話題の背景と論点
脆弱性の協調開示(エンバーゴ)は、修正パッチが世に出るまで悪用を防ぐための業界の慣行で、開発元・配布元・セキュリティ企業が公開時刻を事前に申し合わせる。今回はその直前に、エンバーゴ参加企業の一つであるChainguardが独自に修正済みイメージを公開し、賛否を呼んだ。Chainguard側は「既に野良での悪用を確認したため」と説明したとされるが、PHP財団側は機能するPoC(実証コード)の存在を公開時点では確認していないとしており、両者の認識は一致していない。スレで誤解されやすいのは、Docker公式イメージの運用はPHP財団ではなくDocker側コミュニティが担っている点で、更新の遅れを財団の責任とするのは的外れだという指摘も出ていた。また話題になったアニメ動画は、セキュリティ企業Califが広報用に公式に公開したものだったとされ、業界の信頼性を問う声につながった。
※本記事は海外掲示板 Hacker News のスレッド「Today’s PHP Security Release, and How We’re Strengthening PHP Security」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。