トップ ＞ テクノロジー

PHP脆弱性対応を支えたボランティア開発者スーリー氏の役割

内容

PHPで深刻な脆弱性が2件見つかる

2026年10月、ウェブサイトの約70％で使われているプログラミング言語PHPに、深刻な脆弱性が2件あることが明らかになりました。発見したのは、AIの最先端モデルを使ったセキュリティ研究者です。悪用されると、攻撃者がサーバーを完全に乗っ取り、内部のデータを盗んだりサイトを止めたりできるおそれがありました。

PHPを保守・管理する側は、少し前からこの問題を把握していました。しかし修正版を公開する前に、情報がネット掲示板に漏れてしまいました。そのため公開予定は2日前倒しになりました。修正版を作って出す側、それを適用する世界中の開発者、悪用を狙う攻撃者の三者による時間の競争が始まった形です。ホスティング企業からは、公表後に悪用の試みが数百万件単位に増えたという報告が出ています。WordPressのサイトでは、ホスティング事業者の対応を待つ状況になっていると伝える報道もあります。

スーリー氏は何者か

オンドレイ・スーリー氏はチェコに住む開発者です。本業は非営利団体のDNSエンジニアリング部門のディレクターで、PHPの運営組織に所属しているわけではありません。本業とは別に、ボランティアとして20年以上この作業を続けています。今回は、脆弱性の情報を一般公開の前に共有される限られた関係者の一人として招かれていました。

担っている作業の範囲

PHPプロジェクトが公開するのは、言語のソースコードです。スーリー氏は、そのソースコードを、利用者が自分のサーバーにそのままインストールできる「パッケージ」の形にまとめています。パッケージがあれば、利用者は自分でコンパイルしなくて済みます。同じパッケージを数百台、数千台のサーバーにまとめて入れることもでき、インストールの自動化もしやすくなります。修正版を現場へ素早く届けるうえで、この作業が大きな役割を果たしました。

一方で、スーリー氏本人は、自分がいなくても利用者はほかの入手先からPHPを手に入れ、自分でコンパイルできたはずだと話しています。ただし、その場合は誰にとっても作業が複雑になり、時間もかかったうえ、必要な技術を持たない人もいただろうとしています。「この男に何かあったら終わり」という言葉は、こうした事情を背景にした評価です。

本人が語った負担

スーリー氏は、この48時間は自分にとってそれほど大変ではなかったと話しています。理由として、作業の多くがすでに自動化されていること、パッケージを準備する時間があったことを挙げました。さらに、自分自身はPHPを動かしているシステムを1つも持っていないことも理由に挙げています。準備の時間が十分になければ、大きなストレスになっていたとも述べました。

インタビューした記者は、修正を担う人物が寄付で生活費を賄っているという趣旨の投稿をたびたび目にしたと伝えています。ただ、スーリー氏の収入の実態は明らかになっていません。ボランティアの負担を今後どう支えるのか、作業をどう引き継ぐのかといった体制も、現時点で明らかになっていません。

注目ポイント

世界の大半のウェブサイトに関わる言語の対応を、本業の傍らで作業するボランティアが支えていたという構図に、意外さを感じる人が多くいます。情報の漏えいで公開が早まった中、修正版を現場へ届ける工程の重要さが改めて見えた点も関心を集めています。今後は、こうした個人の作業をどう支え、続けていくかが焦点になりそうです。

ネットでの反応

ネット上では、インフラの重要な部分が一人に頼る「属人性」や「単一障害点」になっていることを心配する声が目立ちます。英雄の物語で終わらせず、保守する人への報酬や引き継ぎの仕組みを用意すべきだという意見も見られます。

一方で、見出しにある「保守とパッチの自動化」は言い過ぎで、実際の役割は配布用パッケージの作成だと指摘する声もあります。「この男に何かあったら終わり」という表現を煽りだとみる受け止めも出ています。報道が強調した「欠かせない存在」という見方と、本人が「自分がいなくても入手手段はあった」と語った内容との違いに注目する人もいます。

このほか、PHPの中核に関わる人の中にもPHPを使っていない人が意外と多いという感想や、今回初めて自分が氏のパッケージを使っていたと気づいたという声が上がっています。情報が漏えいした目的を気にする投稿も見られます。

参考記事

• 「この男に何かあったら終わり」と評されるPHPの保守とパッチの自動化を行うボランティア「オンドレイ・スーリー」氏とは何者か？GIGAZINE　2026年10月23日 22:00
• 【画像】PHPの脆弱性に挑んだボランティア開発者スーリー氏が語る舞台裏 1/5ライブドアニュース　2026年10月23日 22:00
• 【画像】PHPの脆弱性に挑んだボランティア開発者スーリー氏が語る舞台裏 2/5ライブドアニュース　2026年10月23日 22:00
• 「この男に何かあったら終わり」と評されるPHPの保守とパッチの自動化を行うボランティア「オンドレイ・スーリー」氏とは何者か?　2026年10月23日 22:15

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。