PHP財団、常勤職員は1人 脆弱性対応で体制不足が判明

PHPで今週、重大なセキュリティ脆弱性が2件見つかり、世界中のウェブサイトが緊急対応を迫られた。PHPを支えるPHPファウンデーションのエリザベス・バロン事務局長はロイター通信に対し、同財団の常勤職員は自分1人だけだと明かした。

バロン氏によると、財団は主にパートタイムの契約スタッフ14人と協力しており、理事会のメンバーは無報酬のボランティアで、運営は寄付と助成金に頼っている。今回の脆弱性は、外部の研究者やOpenAI、魔法使いウィズ (ゲーム)、クラウドフレアなどの企業と連携して調査・修正が進められ、10月21日に公開された修正プログラムはこの過程で作成された。

攻撃試行は数百万件、悪用の証拠はなし

クラウドフレアは数百万件の攻撃試行を検知したが、バロン氏は、公開前や修正済みのサイトで攻撃者が脆弱性を悪用した証拠はないと述べている。欧州の政府系サイトは10月21日、修正プログラムを適用するためアクセスを遮断した。

PHPは30年前から続くオープンソースのプログラミング言語で、世界のウェブサイトの最大70%で使われていると推定される。バロン氏は、AIを活用した研究で10年間見つからなかったバグが発見されたとも説明した。

PHPプロジェクトに提出されるコード変更の提案は1年前と比べてほぼ2倍に増えた一方、レビューを担う人数はそれに見合って増えていない。バロン氏は、今回の一件で企業や政府がPHPにどれほど依存しているかが浮き彫りになったとし、PHPへの支援はそれに比べてあまりにも少ないと語った。