2026年10月22日、ネットのサイトの裏側を動かしているソフトPHP（ピーエイチピー）を作る団体、PHP財団が、修正版（パッチ）より先に穴の話が漏れた経緯を公式に発表しました。

21日の昼から夜にかけて、PHPに見つかった深刻な欠陥（専門用語で脆弱性＝ぜいじゃくせい）に備えて、保育園の連絡アプリや人気ゲーム、アーティストの会員サイトまでを運営する会社が相次いで止めた、あの騒ぎの裏側です。

Xでは騒ぎの最中から、修正版が出るまで穴の中身を黙っておく約束を、ひとりの研究者が破ってばらしたせいだ、という見方が一気に広がっていました。

「研究者のせいでゲームが止まった」という声が、あちこちで上がっていました。

 

ところが財団の発表を読むと、秘密を漏らしたのは1人ではありませんでした。

しかも、修正版そのものを予定より6時間以上早く世の中へ出してしまったのは、研究者ではなく、修正版を前もって受け取っていた会社だったんです。

ここでは財団の発表をたどって、「犯人」と呼ばれた側がいったい何者だったのかを見ていきます。


漏らしたのは1人ではなかった

財団によると、穴の中身を伏せたまま修正版を仕上げ、世界じゅうで同じ時刻に配る段取りは、公開予定（もともとは22日でした）の2日前まではうまく回っていました。

崩れ始めたのは、日本時間の21日0時ごろからです。

  • 21日0時ごろ　穴の整理番号（CVE番号）が海外の掲示板やSNSに出回る
  • 21日5時ごろ　穴を見つけた会社Califが、攻撃が通る様子の動画を誤って公開し、消す
  • 21日8時ごろ　電気や水道など社会の基盤を担う会社へ先に送った、防ぎ方の助言も漏れた可能性
  • 21日16時41分　修正版を受け取っていたChainguardが、予定より6時間以上早く公開

 

しかも最初に出回った情報は、公開の時刻も、穴の深刻さを表す点数も間違っていました（点数は10点満点で本当は9.2なのに、満点の10と書かれていたんです）。

財団は、番号が出回った最初の段階では、穴の技術的な中身までは漏れていなかったと書いています。

それでも騒ぎを受けて、PHPの開発チームは修正版の公開を1日早め、21日の夜11時に出すと前もって知らせました。

こうして予定を早めるはめになった例は、じつは今回が初めてではありません。

2018年、パソコンの頭脳にあたるCPUに見つかったメルトダウンという大きな欠陥のときも、本来の公開日より前に中身が漏れ、予定を待たずに発表されました。

そのときも一部のソフトでは、まだ直す手段がそろわないうちに、穴があることだけが先に知れ渡っています。

4つのうち、最初の3つは、誰から出たか分からない流出か、うっかりの誤公開か、漏れたおそれがあるというもので、財団がはっきり約束を破ったと名指ししたのは、最後の1社だけです。

サイトが一斉に止まる様子が、ネットがウイルスに乗っ取られる映画『サマーウォーズ』になぞらえられた経緯は、PHP脆弱性問題が『リアルサマーウォーズ』と言われる理由にまとめています。


動画の元はCalifの誤公開

Xで「研究者が暴露した」と名指しされていたのは、主に、ドバイに拠点を置くセキュリティの専門家で、21日の明け方に攻撃が通る動画をXへ流した人です。

財団の発表によると、穴を見つけたセキュリティ会社の1つCalif（カリフ）が、21日5時ごろに誤って公開し、すぐ消した動画のコピーが、そのあとSNSで出回っていたんです。

つまり、修正版より先に世界へ流れた攻撃の動画は、もとをたどると、穴を見つけて守る側にいた会社から出たものでした。

 

では冒頭の投稿にあった「パッチの内容を勝手に公開した」のは、この専門家だったのでしょうか。

しかし財団の発表に、この専門家がパッチの中身を公開したという記述はありません。

修正版そのものを先に世の中へ出してしまったのは、Chainguardという会社でした。

「研究者ひとりが悪い」という声は、別々に起きたいくつもの漏れを、いちばん目立った1人に全部かぶせていました。


6時間早く出たChainguardの修正版

Chainguard（チェーンガード）は、アメリカのセキュリティ会社です。

ソフトを動かすための部品一式（コンテナイメージ）を、穴をふさいだ状態にして配るのが仕事で、ほかの配布元（修正版を利用者のもとへ届ける会社や団体）と同じく、PHPの修正版を公開前に受け取っていました。

ところが21日の夕方、早めたあとの公開予定（23時）よりも6時間以上前に、その部品を先に出してしまいます。

財団はこれを、Chainguardが一方的に、公開の時刻まで待つ約束を破ったと書いています。

というのも、修正版が出てしまえば、悪いことを考える人は、直す前と直したあとを見比べて、穴の場所を割り出せるからです。

ほかのPHPの利用者が全員まだ待っているあいだに、穴の場所を割り出せる修正版だけが、先に誰でも見られる場所へ出てしまいました。

研究者ひとりに向いていた怒りは、財団の発表のあと、CalifとChainguardという会社の名前へも向かい始めました。

 

Chainguardの側で判断したとみられる人物は、エンジニア向けの海外掲示板「Hacker News」に「攻撃が実際に出回り始めたので、早めに出すと決めた」と書きこみました。

出した部品は無料にして、これからも無料のままにする、とも添えています。

けれど財団は、修正版を公開した時点で、世の中に出回っている道具の中に、実際に乗っ取れるものは見つかっていなかったと書いています。

22日には、ChainguardのCEO、ダン・ロレンツ氏も海外メディアThe Registerの取材に答え、公開の時刻は認めたうえで「漏らしてはいない」と答えた形です。

どちらの言い分が正しかったのかは、いまもはっきりしていません。


修正版より5時間半早い攻撃

Xには、こんな疑問を書く人もいました。

手がかりは、海外のセキュリティ会社ELLIO（エリオ）が置いた、攻撃を集めるためのおとりのサーバーの記録です。

  • 21日17時36分　最初の攻撃の試みが届く（PHPが修正版を出す23時の、5時間半前）
  • 21日23時　PHPが修正版と穴の説明を公開
  • 22日1時05分　穴の説明どおりの形をした攻撃が届き始める

修正版の前に届いていた攻撃は、出回った動画や試作品をもとに作られたものでした。

ELLIOの分析では、そのままでは相手のサーバーを乗っ取るところまで届かない、作りかけのものだったそうです。

穴があることは知られても、どこをどう突けばいいのかの決め手は、まだ出回っていなかったのでしょう。

狙いどおりの形をした攻撃が届き始めたのは、修正版と一緒に穴の説明が公開された2時間後です。

 

公開された説明には、被害を防ぐために「こういう形のデータが届いたら危ない」という中身まで書かれていました。

ELLIOは、修正版を見比べるまでもなく、防ぎ方の説明そのものが攻撃の形を教えていたと書いています。

 

海外の掲示板には、Chainguardが修正版を出した55分後に最初の攻撃が届いた、と2つを結びつける書きこみもあります。

ただELLIOは、その最初の攻撃は修正版ではなく漏れた材料をもとに作られていたと書いていて、Chainguardのせいだと言い切れる記録は、いまのところ見当たりません。

 

ところが22日になって、Amazonのセキュリティチームが、もっと前の記録を明かしました。

穴が公表される4日前の10月17日に、Amazonのおとりのサーバーへ、この穴を突こうとする攻撃が1回届いていたそうです。

送り元は、どこから来たのかを隠す匿名化の仕組みを通していて、Amazonは攻める側が公表の前にどうやって攻め方を知ったのかは分からないとしています。

財団が並べた4つの漏れより前に、どこかから話が出ていたのかもしれません。

21日も日本時間の11時ごろから、別々の攻撃者とみられる試みが6時間ほど続いていて、Amazonの記録ではELLIOより早くから動きがありました。

止まったサービスがいつ戻るのか、使うだけの人がいま何をすればいいのかは、PHP脆弱性で個人ができる対策｜パスワード変更が復旧後でいいのはなぜ？にまとめています。


手柄を主張したCalif

漏れた経緯とは別に、海外ではもう1つ、言い争いが起きています。

この穴を最初に見つけたのは誰か、という手柄の取り合いです。

財団の発表では、2026年8月11日にCalifの研究者が穴を知らせ、同じ日にOpenAI（ChatGPTの会社）も、別々に同じ原因を知らせていました。

そのあと8月24日にはセキュリティ会社Wiz（ウィズ）が、9月18日にはOpenAIが、さらに別の攻め口を知らせています。

修正版が出た21日の夜、Califは公式のXで「はっきりさせておこう、最初に見つけて動く攻撃まで作ったのはうちの研究者だ」と投稿しました。

証拠に挙げたのはその研究者の8月5日の投稿で、財団の記録より6日早い日付です。

返信には「手柄を取られるな」「OpenAIに盗まれていないか」と、研究者を応援する声も並んでいます。

 

同じ夜、Califの公式Xは英語でこう投稿しています。

「日本の首相まで更新を呼びかけているんだから、まあ深刻な事態ってことになるかな」という意味です。

ここでいう首相とは、21日の夜に自身のXで「PHPを使うサイトは今夜のうちに備えてほしい」と呼びかけた高市首相のことです。

Califのこの投稿は、日本時間では22日の深夜で、徹夜で修正版を入れていた運営の人たちが、まだ作業を続けていた時間でした。

見つけた会社は、穴をふさいで利用者を守る立場でありながら、この穴を、会社の名前を世界に広める手柄にもしているように見えます。


動画を広めた人は、作った人ではなかった

冒頭の「研究者ひとりのせい」という見方には、3つの思い込みが混ざっています。

  • あの動画を流した専門家が、穴を暴露した張本人だ
  • その人が、最初の火種になった
  • お金や目立ちたさのためにやった

Xでは、この専門家を名指しして「無能な働き者だ」「何かの罪に問えないのか」という声も、返信や引用でいくつも上がっていました。

 

ところが1つ目は、本人の投稿を読むと当てはまりません。

騒ぎのさなか、この専門家は「この動画と攻撃の手柄は、lcfr_haxとCalifのものだ」と、自分で書いていました（lcfr_haxは、Califの研究者のXの名前です）。

動画を世界じゅうへ広めたのはこの人でしたが、作った手柄は自分ではなくCalifの研究者にある、と本人がはっきり書いていました。

「暴露した犯人」と名指しされた人と、暴露の中身を作った人は、別の人だったんです。

2つ目の「最初の火種」も、財団の発表では、いちばん先に番号を書きこんだのは海外の掲示板の匿名の投稿者で、この専門家ではありませんでした。

 

3つ目の「なぜやったのか」は、本人の言葉が手がかりになります。

修正版が出る前夜、この専門家はこう投稿していました。

「攻撃はもう出回っている。ここには載せないから自分で調べて。あしたを楽しもう、ニュースに面白い見出しが並ぶはずだ」という意味です。

聞く側には、危ないことが起きると分かっていながら、それをお祭りのように待っている言葉に響きます。

一方で、報酬はいくらもらうのかと聞かれた別の投稿には、「0（ゼロ）はどう？」とだけ返しています。

お金が目当てだったとは、少なくとも本人の言葉からは読み取れません。

善意だったのか、ただ面白がっていたのかは、本人の言葉を見たうえで、読んだ人が決めればいいことだと思います。

 

では、財団に約束破りを名指しされたChainguardのような側は、何か罰を受けるのでしょうか。

修正版まで黙っておくという取り決め（エンバーゴと呼ばれます）は、法律ではなく、穴を見つけた人と直す人のあいだの約束です。

破った人が失うのは信用だけで、次から大事な話を前もって教えてもらえなくなる、くらいのものなのでしょう。


2024年に見えていた兆し

このまとめにあるように対応が止まっていたことは、財団自身も発表の中で認めています。

2024年、PHPは数年ぶりに外部の専門家による点検を受け、そこで見つかった問題を直している途中で、今回の穴につながる最初の兆しが見つかっていました。

ただ当時は、実際に乗っ取りにつながる道筋が見つからず、直し方の案もどれも別の不具合を生むものだったため、2年ほど、作業は止まっては再開を繰り返していました。

財団は作業が止まっていたことを、仕組みの失敗だったと書きました。

原因として挙げたのは、全員が納得しないと決められない話し合いの進め方と、PHPの心臓部の作りまで分かる技術者が少ないことです。

 

世界のサイトの多くを支えているのに、PHPそのものの穴を直す作業は、いまも財団がお金を出す少人数とボランティアの手に頼っています。

 

同じ危うさは、12年前にも表に出ていました。

2014年、世界じゅうのサイトの通信を暗号で守るソフト「OpenSSL」に、ハートブリードと呼ばれる大きな穴が見つかったときのことです。

そのとき、世界の通信を支えるこのソフトを管理していたのは、ほとんどがボランティアで、専任で関われる人はたった1人でした。

1年間の寄付は2千ドルほどだったと報じられています。

穴が公になったあとの2〜3日に集まった寄付も、800ドルあまりです。

当時、あるセキュリティの研究者は「世界経済のいちばん大事な技術が、驚くほどお金の足りない土台の上に載っている」と語っていました。

原因のこまかいところは違いますが、世界の土台を少ない人とお金で支えている、という危うさはそっくりです。

「無能な働き者だ」と1人を責める声は分かりやすいのですが、本当に弱いのは、その人ではなく、穴を直せる人がずっと一握りしかいないことのほうです。

近ごろは、AIを使って穴を探す人も増え、その報告が一気に押し寄せて、少ない人数で回している人たちは、さらに追われるようになっています。

財団によると、7月1日から15件の穴を公表し、そのほかに、穴ではなかったり重複していたりする報告を100件以上さばいてきたそうです。

 

Xで「犯人」と名指しされたのは、いちばん目立つ動画を広めた1人でした。

けれど財団の発表をたどると、漏れたところや、そのおそれがあるところは4つあり、修正版を6時間早く出したのは別の会社で、その動画さえ本人が作ったものではありませんでした。

犯人さがしがこれだけ難しいのは、秘密を前もって知る人は世界じゅうに増えたのに、その穴を直せる人はずっと一握りのままだからです。

同じ騒ぎを繰り返さずに済むかどうかは、1人を責めるかどうかではなく、その一握りの人たちに、世界がどれだけ手を貸すかにかかっているのだと思います。