本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
PHP財団のエリザベス・バロン事務局長は2026年10月23日（現地時間）、ロイターの取材に対し、財団の常勤スタッフは自身1人で、ほかに主にパートタイムで働く契約者が14人いると説明した。重大な脆弱性への対応が進むなか、PHPへの資金提供は、その依存度に比べて著しく不足していると訴えた。
増える変更提案、審査を支える人材が課題に
財団は、PHPの保守やセキュリティー、新機能開発を担う開発者への資金支援を行い、コードレビューやバグ修正、基盤の保守にも貢献している。今回示された人数は財団の運営体制であり、PHP開発者全体の人数ではない。ロイターによると、理事は無報酬のボランティアで、運営資金は寄付と助成金で賄っている。
バロン氏がロイターに説明したところでは、コード変更の提案は1年前の2倍弱に増えた一方、貢献者数は2倍にはなっていない。AIは欠陥の発見やプログラマーの効率向上を助けるが、増える提案やバグ報告を審査するには、人の経験と作業を担う人員が必要になるという。
脆弱性への対応には外部の協力もある。ロイターによると、財団はOpenAI、Wiz、Califなどの企業や外部研究者と、脆弱性の調査や修正の調整で連携している。
重大脆弱性の修正版を公開、別の問題には設定変更を案内
PHP公式は10月21日付の告知で、認証なしの遠隔コード実行につながり得る重大な脆弱性2件を修正したバージョン8.5.12、8.4.27、8.3.36、8.2.35を公開し、直ちに更新するよう呼びかけた。対象はCVE-2026-109618とCVE-2026-109619で、メモリー不足時の処理に伴う破損と、解放済みメモリーを参照する内部状態に関する問題だ。公式はウェブ要求を処理するPHP環境をリスク対象とし、実証された攻撃経路があるmod_phpを最も高いリスクと評価している。設定変更などの暫定的な緩和策は完全な対処にはならず、修正版への更新が必要だ。
バロン氏は10月23日のロイター取材で、財団が把握する範囲では、脆弱性の公表前や修正済みサイトでの悪用を示す証拠はなく、連携する3社からも修正済みシステムの問題を示す追加報告を受けていないと説明した。
10月23日付の公式追加告知では、別の問題であるCVE-2026-115560について、次回の通常リリースまでセッションアップロード進捗機能を無効にする設定「session.upload_progress.enabled=0」を推奨した。対象となるのは、セッションのシリアライズ方式を特定の方式から実行中に変更するなど、起こりにくい条件が重なった場合だ。実行時に方式を変更しないアプリケーションは同機能を有効のままにできるという。この設定は10月21日の別の脆弱性に関する勧告でも緩和策として案内されており、CVE-2026-115560の完全な勧告は次回リリース時に公表する予定だ。
参考・出典
- PHP Foundation ‘under-funded’ with one full-time staff member, director says
- 脆弱性発見のＰＨＰ、支援財団常勤スタッフは1人だけ＝代表
- PHP: News Archive – 2026
- Today’s PHP Security Release, and How We’re Strengthening PHP Security
- The PHP Foundation
- Structure – The PHP Foundation
- The PHP Foundation Impact and Transparency Report 2025
- Update: PHP vulnerabilities remain a reason for immediate patching
