Cointelegraphによると、PHP Foundationは、優柔不断とリソース不足により、2024年に初めて特定された重大なセキュリティ上の欠陥への修正が遅れたことを認め、対応の停滞を「構造的な失敗」と表現しました。PHPが関連する2件の重大な脆弱性に対する緊急パッチを公開する中、認証されていない攻撃者がログインせずに影響を受けたサーバー上でコードを実行できる可能性があるため、世界各地の政府機関などは予防措置として水曜日にウェブサイトをオフラインにしました。

PHPは、ウェブサイトやウェブアプリケーション、コンテンツ管理システムの構築に広く使われているプログラミング言語だ。パッチ公開後のブログ投稿で同財団は、開発者が2024年にこの脆弱性の兆候を初めて確認したものの、PHPを基盤として構築された大規模なエコシステムに支障をきたさずに修正する方法の策定に苦慮したと説明した。同財団は、「リモートコード実行につながる既知の手段がなく、エンジンに関する深い知識を持つ少数のコア開発者が多くの責務を抱えていたことも重なり、この意思決定プロセスによって修正作業は数カ月にわたり何度も停滞と再開を繰り返しました」と述べた。「率直に認めます。これは構造的な失敗でした。セキュリティチームの意思決定プロセスと、リソース不足の両方が原因です」。8月11日、セキュリティ企業CalifとOpenAIが同じ根本的な問題を独立して報告し、この欠陥が改めて指摘された。Califは無条件のリモートコード実行を実証したため、最優先のセキュリティ課題となった。

影響は世界各地に及んだ。オランダはデジタルIDサービスを停止し、国立サイバーセキュリティセンターもウェブサイトをオフラインにした。フィンランドの政府系IT事業者Valtoriは公共ウェブサービスを切断。フランス内務省は県庁のウェブサイトを一時的に停止した。ロイター通信によると、ドイツの連邦政府系IT事業者ITZBundはいくつかのサイトを無効化した。オーストラリア通信総局は、cyber.gov.auが影響を受けたと確認した。日本の高市早苗首相はXで、運営者にできるだけ早くパッチを適用するよう促し、すぐに適用できない場合はウェブサイトの機能を一時停止することでリスクを軽減できると述べた。ウィキメディア財団は予防措置としてToolforgeとCloud VPSをオフラインにし、その結果、水曜日にはWikipediaの一部が利用できなくなった。

暗号資産業界では、SlowMistのMistEyeによる調査で、評価対象となった1,488件のうち793件のドメインからPHPの直接的なフィンガープリントが確認された。同社は取引所、DeFiプラットフォーム、ウォレット事業者に対し、リスクへの露出状況を確認し、アップグレードするよう促した。Cardanoのガバナンス組織であるIntersectは、会員エリアを一時的にオフラインにした。Coinbaseの最高セキュリティ責任者、ジェフ・ルンホーファー氏は、PHPのインスタンスが外部にさらされていた証拠は見つかっていないと述べた。「このような脆弱性について情報を得るたびに、可能な限り安全な状態を確保するため、自動的に全面的な調査を実施します。また、さらなる確証を得るため、サードパーティーのサプライヤーとも連携しています」。BitGoは、自社プラットフォームへの影響はなかったと発表した。

Binanceの創業者で元CEOのチャンポン・ジャオ氏（CZ）は水曜日、ウェブ管理者の中にはセキュリティパッチを最新の状態にしていない人もいる可能性があるとして、今後数日間はあらゆるウェブサイトを閲覧する際に「特に注意する」よう、インターネット利用者に呼びかけた。OpenAIはGitHubでCodexのスキルを公開し、運用担当者が脆弱なPHPのバージョンを確認し、適用可能な更新を特定できるようにした。PHPのセキュリティチームは、一般公開時点で実際に機能するエクスプロイトは確認していないと述べた。