PHPの脆弱性対応、篤志メンテナーのオンドレイ・スーリー氏が語る

2026年10月に公表されたPHPの重大な脆弱性2件について、パッケージをボランティアで保守するオンドレイ・スーリー氏がアトランティック・マンスリーの取材に応じた。スーリー氏はチェコ在住の開発者で、PHPプロジェクトの雇用する人員ではなく、本職は非営利団体Internet Systems ConsortiumのDNSエンジニアリング担当ディレクターである。

この脆弱性は、高度なOpenAIのモデルを用いたセキュリティ研究者によって発見された。悪用されれば攻撃者がサーバーを完全に掌握し、あらゆるデータを窃取し、サイトを停止させることが可能だったという。PHPプロジェクトは事前に脆弱性を把握していたが、修正プログラムの公開前に情報がオンラインフォーラムに漏えいし、予定していたリリースを2日前倒しした。

スーリー氏はパッケージの保守と修正プログラム作成の自動化を担ってきた。同氏によると、この作業には20年以上携わっており、業務の多くは自動化されている。また、自身ではPHPのシステムを運用していないとも述べた。

Cloudflareは、脆弱性の公表後に悪用の試みが数百万件規模に増えたと報告している。スーリー氏はソフトウェア企業FreexianのRaphaël Hertzog氏と不測の事態に備えた計画について協議したと明かし、前日から少額の寄付を多数、大口の寄付も一部受け取っていると語った。