Hari K T

PHP Foundation VE Chainguard解説 PHP Foundationは、Chainguardが禁輸期間(エンバーゴ)を破り、修正入りのコンテナイメージを予定より早く公開したと主張しています。その結果、他のユーザーが更新を待っている間に、攻撃者が修正をバイナリで解析できる状態になったとされます。 時系列(UTC) •10月20日 約15:00: 2件のCVE番号が、誤ったリリース時刻と誤ったCVSS 10.0とともにフォーラムやSNSに流出しました。技術的な詳細は含まれていませんでした。 •同日 19:30: PHPは予告を前倒しして公開し、リリースを22日から21日(14:00 UTC)に早めました。配布側がまだパッケージを準備中だったためです。 •同日 約20:00: Califが、複数の対象でエクスプロイトが動作する動画を誤って公開しました。動画は削除されましたが、コピーが拡散しました。 •同日 約23:00: 重要インフラ事業者などに共有した緩和策の情報も、漏れた可能性があるとされています。 •10月21日 07:41: Chainguardが、リリースの6時間以上前に修正入りイメージを公開しました。 双方の主張 •PHP Foundation: 事前にパッチを受け取った配布事業者として、何週間もかけた協調的開示を無視した一方的な行為だとしています。 •Chainguard CEOのDan Lorenc: 他のセキュリティ事業者が実環境での攻撃を報告し、発見や悪用が容易で情報も出回っていたため、早期公開を決めたと述べています。公開後にグループへ通知し、PHPの保守担当者に負担をかけたことを謝罪しました。ただし、攻撃を報告した事業者名や証拠は示していません。 •記事の注記: Chainguardの開示ポリシーには、実環境での攻撃などの場合に期限を短縮できるとあります。ただし、これはPHP側が公開を了承した根拠にはなりません。また、PHP側は、流出後に調べた公開PoCに動作するものを確認できなかったとしています。ただし、他所での悪用を否定するものではありません。 PHP側の自己検証 •CVE-2026-109618の根本にあるメモリ不足(OOM)時の問題は、2024年のQuarkslab監査の対応中に兆候が見つかっていました。 •当時は悪用が理論上のものにとどまり、他の脆弱性が優先されました。修正案は互換性の破壊、新たなDoSリスク、拡張モジュールの改修といった代償を伴い、合意形成が進まず作業が停滞しました。 •8月11日にCalifが同じ根本原因による無条件のRCEを報告し、OpenAIも同日に同じ根本原因を独立に報告しました。これを機に最優先の課題となりました。 •Foundationはこの遅れを「構造的な失敗」と認めています。 今後の変更 •セキュリティチームの意思決定を、全会一致から多数決へ移行しています。 •判断の難しい重大な脆弱性は、早く上位の判断に上げる方針です。 •7月1日以降に15件のCVEを公開し、100件超の無効・重複・再現不能な報告も処理しています。 •Foundationは、企業やホスティング事業者、クラウド事業者、政府に、エンジンに詳しい技術者を雇うための資金提供を求めています。 補足 
Reddit上ではChainguardへの批判があり、今後の機密パッチの共有で信頼されるのかという疑問も出ています。一方で、2024年から放置していたという見方には反論もあります。