PHP財団は10月21日、Today's PHP Security Release, and How We're Strengthening PHP Securityにおいて、PHPの重大な脆弱性「CVE-2026-109618」と「CVE-2026-109619」の修正版公開に至る経緯を説明した。今回の脆弱性対応では、公開前に情報が流出したほか、関係者間で調整していた公開時刻より早く修正版が配布されるなど、混乱が生じていたという。

PHPの脆弱性情報が流出、修正版の公開を1日前倒し

PHP財団によると、10月20日15時ごろ（UTC）、2件の脆弱性に割り当てられたCVE番号がオンラインフォーラムやSNSで拡散され始めた。この段階では技術的な詳細は流出していなかったものの、公開時刻やCVSSスコアについて誤った情報が広がっていた。

これを受け、PHPプロジェクトは同日19時30分（UTC）に事前告知を公開。当初10月22日14時（UTC）を予定していた修正版の公開を、10月21日14時（UTC）へと1日前倒しした。

修正プログラムをパッケージ化しているディストリビューターの準備期間を確保しながら、できるだけ早く利用者が更新できる状態を整えるための判断だった。

さらに、20日20時ごろ（UTC）には、脆弱性を報告したCalifが、概念実証（PoC）の動作を示す動画を誤って公開。動画は削除されたものの、コピーがSNSで拡散し、攻撃手法の検証が進む要因になったという。

Chainguardが修正版を6時間以上早く公開、PHP財団が批判

10月21日7時41分（UTC）、ソフトウェアサプライチェーンのセキュリティを手掛けるChainguardが、合意された公開時刻より6時間以上早く、脆弱性の修正を含むビルド済みイメージを公開した。

Chainguardは他のディストリビューターと同様、正式公開時に利用者が速やかに更新できるよう、事前に修正パッチを受け取っていた。

PHP財団は、修正版の先行公開によって、攻撃者がバイナリ形式の修正内容を解析できる状態になったと指摘。他の利用者が修正版を入手できない段階で、脆弱性の詳細を推測する手掛かりを与えかねない行為だったとしている。

同財団は、Chainguardによる公開を、関係者が数週間にわたって進めてきた協調的な情報公開の取り組みを無視する行為だったと批判した。

今回の事例は、重大な脆弱性への対応において、修正版を迅速に提供することだけでなく、関係者間で公開時期を調整し、利用者が同時に更新できる環境を整えることの重要性を示している。