PHP財団、重大脆弱性の修正遅れ認める

PHP財団（PHP Foundation）は、2024年に初めて確認された重大なセキュリティ脆弱性の修正が遅れていたことを認め、組織的な構造問題による失敗だったと説明したと、コインテレグラフ（Cointelegraph）が報じた。 PHP財団は現地時間10月21日、緊急セキュリティパッチを配布した後に発表した声明で、セキュリティ対応の意思決定上の問題や開発人員の不足により、脆弱性の修正が長期間遅れたと明らかにした。今回確認された2件の脆弱性は、攻撃者が別途ログインや認証を行わずに、影響を受けるサーバー上でリモートからコードを実行できる問題に関連している。 財団によると、開発チームは2024年に当該脆弱性の兆候を初めて把握していたが、PHPベースのソフトウェア生態系に及ぶ影響を考慮する過程で、解決策の策定に難航した。その後、8月11日にはセキュリティ企業のキャリフ（Calif）とオープンAI（OpenAI）が、同じ根本問題をそれぞれ独立して報告した。さらに、キャリフが認証なしでリモートコード実行が可能であることを立証したことで、対応の優先順位が引き上げられた。 セキュリティ上の懸念が広がる中、オランダ、フィンランド、フランス、ドイツなどの欧州各国は、一部の政府ウェブサイトやオンラインサービスを一時停止した。オーストラリア政府のサイバーセキュリティ関連ウェブサイトも影響を受けたことが確認された。 これに関連し、バイナンス（Binance）創業者のジャオ・チャンポン氏は、一部のウェブサイト運営者がセキュリティパッチを適用していない可能性があるとし、今後数日間はウェブサイトへのアクセスに注意するよう呼びかけた。