問題の本質はこれだな
このセキュリティ企業ダメすぎでは。情報を先に漏らしちゃうとか話にならないのでは。
フライング公開でパッチ前にPoC出回るとか大迷惑すぎるだろw 協調的脆弱性報告のルール崩壊してて草
でもなあ、このドタバタが無かったらここまで必死でアップデートしなかった会社あると思うんだよな 結果的に大騒ぎしてくれてありがたかった
陰謀論的にいうよ。セキュリティ会社のAIが「速やかに公表すべき事案」と判断してお漏らししたんじゃないかな？
クソすぎる‥ "さらにセキュリティ企業で事前にパッチを受け取っていた米Chainguardも、公開禁止措置を破って6時間以上も早くセキュリティアップデートを含む実行環境を公開したという。"
"セキュリティ企業で事前にパッチを受け取っていた米Chainguardも、公開禁止措置を破って6時間以上も早くセキュリティアップデートを含む実行環境を公開"
“すぐに公開すると多くのユーザーが容易にアップデートできなくなる恐れがあったためだ。しかし21日午前5時ごろ、Califが脆弱性に関する動画を誤って公開。”
公開後2時間でアタックが数百万件あったらしいから今のフライングはかなり最悪の行為ということになる。AI時代だからね／ITインフラチームへのアドバイス漏れてるのやばいな、スパイいるじゃん
なるほどなぁ…今回、高市総理が緊急告知する訳だわ… こういう特別な背景を知らなかったら、え？今後もセキュリティアップデートの度に首相が告知するの？ってなるもんなぁ…(´・ω・｀)
お漏らしをするセキュリティ企業ヤバすぎる
対応に奔走したエンジニアは漏洩させた馬鹿を殴っても許されると思う
この記事からわかること：AIは脆弱性発見してえらい！人間はクソ🖕
漏らした会社は犯罪者組織と繋がってると思われても致し方ない。今後の事業への影響は考えなかったんか…
世のセキュリティを守るには共同体ファースト的な動きが必要になる。
AI「やはり人類は愚か…」
そして、謝罪すらしてないのがね。誤って動画を公開した本人。
数学者が公開やめてって言ってる理由がわかってきたね
んー、正直騒ぎ過ぎだと思う。本質的な問題は、セキュリティを全く理解しないところが運営していること。少なくともフライング云々は問題の本質じゃない。特にPHPを運用しているところはセキュリティ知らないんじゃ
トレなんとかとかマカなんとかの例を出すまでもなく、「セキュリティ業界」自体の信用が微妙過ぎるのが最大のリスク
色々あった
ネット上で大騒ぎしていても翌日になって顧客からちゃんと対応したのかと問い合わせを受けて初めて知って渋々作業を開始するIT企業もあってね(たぶんまだ終わってない
AIのせいで、ハードウェアだけでなくソフトウェアも高くつくようになってしまった。
世界的に混乱を広げてはいるんだけど、適切な手順を踏んだとしても以前のbashの脆弱性みたいに大事になることは間違いないんだし、批判がどの程度仕方ないことなのか疑問はある。
経緯を読む限りはCalifのやらかしが残念すぎる
フライングがなかったら特に日本のJTCは胡座かいて無駄な会議しまくって（情報屋の話なんて当てになるかという上層部が輩出してｗ）軒並みやられたかもなと。経営体質的には混乱が僥倖だったような感じ
ChainguardのHardened Imageも検討してたけど、そんなフライングする企業は信用おけないな。。
今回の問題点の本質はこれだよな 脆弱性の内容を事前に公開した奴のせいで緊急メンテが必要になってしまった “..10月21日未明に問題が発生した。2件の脆弱性の存在が、告知に先んじてSNSなどで拡散していたという”
取材に応じたChainguard社のCEOの主張 https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-huge-chunks-of-the-web-at-risk/5304611
ダミーの脆弱性を公開して攻撃させれば出元がどこかわかるんじゃね
FeliCaの脆弱性お漏らししたやつと同じなんだよな。一部のイキリのせいで、多くの人が迷惑を掛ける。
漏らすだけならAIでもできる。このご時世に社会的影響を考えずに振る舞う手合いはAIでリプレースされる程度の価値しかなかろうよ
損害賠償でおおもうけだ（カスのアベンガネ）
お漏らしした企業は吊し上げくらっても仕方ないやつやでこれは。全世界を混乱させおってからに。…。
“しかし21日午前5時ごろ、Califが脆弱性に関する動画を誤って公開。複数のターゲットに対して実際に動作する概念実証（PoC）を示してしまった。”…どのツラ下げてセキュリティ企業を名乗っているのやら…
セキュリティの穴を晒すなんてダメにゃ！ボクの猫パンチで反省させるにゃ！
22日午後11時が21日午後11時に。しかし同日、セキュリティ企業のフライング。"協調的な情報公開に向けて何週間もかけて行ってきた努力を無視する行為"（"一部の重要なITインフラ事業者"以外の事業者は別の感じ方したかも
フライング公開の前は攻撃無かったのかな フライング後に爆発的に増えたってならまぁ悪いっちゃ悪いけど、ガチの攻撃者は存在を知った時点から攻撃手段を探ってるだろうしな
フライング企業にはPHPだけでなく各団体が情報渡さないように村八分されそうだが今後のことは考えなかったのだろうか
まぁずっとAIには倫理憲章が必要と思ってるんだよねー。でも日本で代表的なのがluminならこんな事態が起こる事には不思議はないでやむを得ないかな。
まるでWordPressプラグインのソースコードを読んでいるかのような有様
これはちゃんと罰する法律が国際的に必要だし、セキュリティの枠組みから外していかないとまずい。協定破りが世界中のセキュリティ脅威を上げている。
"セキュリティ企業で事前にパッチを受け取っていた米Chainguardも、公開禁止措置を破って実行環境を公開〜他のPHPユーザーが（パッチの）リリースを待っている間に、攻撃者はバイナリ形式で修正内容を研究可能" ワァ…
生きて継続的にアップデートされている何割かと、極少数の自主停止を選んだサービスを除けば、任意コードが実行可能な状態で多くのサーバが動いてる状況ではあるんだろうな
Chainguardはこの仕組みからBANすべきだろ。言い訳もなんか苦しい
仮に今回の件を踏まえ対策をしたとしても、攻撃者がセキュリティ企業に産業スパイという形で入ってきて情報入手する可能性もあるし、従業員を買収して～という可能性もあるし、根本解決はできないだろうな
この記事をおすすめしました
PHP脆弱性“PoCフライング公開”の経緯、支援財団が公表 混乱広げた企業を名指しで批判
問題の本質はこれだな
このセキュリティ企業ダメすぎでは。情報を先に漏らしちゃうとか話にならないのでは。
フライング公開でパッチ前にPoC出回るとか大迷惑すぎるだろw 協調的脆弱性報告のルール崩壊してて草
でもなあ、このドタバタが無かったらここまで必死でアップデートしなかった会社あると思うんだよな 結果的に大騒ぎしてくれてありがたかった
陰謀論的にいうよ。セキュリティ会社のAIが「速やかに公表すべき事案」と判断してお漏らししたんじゃないかな？
クソすぎる‥ "さらにセキュリティ企業で事前にパッチを受け取っていた米Chainguardも、公開禁止措置を破って6時間以上も早くセキュリティアップデートを含む実行環境を公開したという。"
"セキュリティ企業で事前にパッチを受け取っていた米Chainguardも、公開禁止措置を破って6時間以上も早くセキュリティアップデートを含む実行環境を公開"
“すぐに公開すると多くのユーザーが容易にアップデートできなくなる恐れがあったためだ。しかし21日午前5時ごろ、Califが脆弱性に関する動画を誤って公開。”
公開後2時間でアタックが数百万件あったらしいから今のフライングはかなり最悪の行為ということになる。AI時代だからね／ITインフラチームへのアドバイス漏れてるのやばいな、スパイいるじゃん
なるほどなぁ…今回、高市総理が緊急告知する訳だわ… こういう特別な背景を知らなかったら、え？今後もセキュリティアップデートの度に首相が告知するの？ってなるもんなぁ…(´・ω・｀)
お漏らしをするセキュリティ企業ヤバすぎる
対応に奔走したエンジニアは漏洩させた馬鹿を殴っても許されると思う
この記事からわかること：AIは脆弱性発見してえらい！人間はクソ🖕
漏らした会社は犯罪者組織と繋がってると思われても致し方ない。今後の事業への影響は考えなかったんか…
世のセキュリティを守るには共同体ファースト的な動きが必要になる。
AI「やはり人類は愚か…」
そして、謝罪すらしてないのがね。誤って動画を公開した本人。
数学者が公開やめてって言ってる理由がわかってきたね
んー、正直騒ぎ過ぎだと思う。本質的な問題は、セキュリティを全く理解しないところが運営していること。少なくともフライング云々は問題の本質じゃない。特にPHPを運用しているところはセキュリティ知らないんじゃ
トレなんとかとかマカなんとかの例を出すまでもなく、「セキュリティ業界」自体の信用が微妙過ぎるのが最大のリスク
色々あった
ネット上で大騒ぎしていても翌日になって顧客からちゃんと対応したのかと問い合わせを受けて初めて知って渋々作業を開始するIT企業もあってね(たぶんまだ終わってない
AIのせいで、ハードウェアだけでなくソフトウェアも高くつくようになってしまった。
世界的に混乱を広げてはいるんだけど、適切な手順を踏んだとしても以前のbashの脆弱性みたいに大事になることは間違いないんだし、批判がどの程度仕方ないことなのか疑問はある。
経緯を読む限りはCalifのやらかしが残念すぎる
フライングがなかったら特に日本のJTCは胡座かいて無駄な会議しまくって（情報屋の話なんて当てになるかという上層部が輩出してｗ）軒並みやられたかもなと。経営体質的には混乱が僥倖だったような感じ
ChainguardのHardened Imageも検討してたけど、そんなフライングする企業は信用おけないな。。
今回の問題点の本質はこれだよな 脆弱性の内容を事前に公開した奴のせいで緊急メンテが必要になってしまった “..10月21日未明に問題が発生した。2件の脆弱性の存在が、告知に先んじてSNSなどで拡散していたという”
取材に応じたChainguard社のCEOの主張 https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-huge-chunks-of-the-web-at-risk/5304611
ダミーの脆弱性を公開して攻撃させれば出元がどこかわかるんじゃね
FeliCaの脆弱性お漏らししたやつと同じなんだよな。一部のイキリのせいで、多くの人が迷惑を掛ける。
漏らすだけならAIでもできる。このご時世に社会的影響を考えずに振る舞う手合いはAIでリプレースされる程度の価値しかなかろうよ
損害賠償でおおもうけだ（カスのアベンガネ）
お漏らしした企業は吊し上げくらっても仕方ないやつやでこれは。全世界を混乱させおってからに。…。
“しかし21日午前5時ごろ、Califが脆弱性に関する動画を誤って公開。複数のターゲットに対して実際に動作する概念実証（PoC）を示してしまった。”…どのツラ下げてセキュリティ企業を名乗っているのやら…
セキュリティの穴を晒すなんてダメにゃ！ボクの猫パンチで反省させるにゃ！
22日午後11時が21日午後11時に。しかし同日、セキュリティ企業のフライング。"協調的な情報公開に向けて何週間もかけて行ってきた努力を無視する行為"（"一部の重要なITインフラ事業者"以外の事業者は別の感じ方したかも
フライング公開の前は攻撃無かったのかな フライング後に爆発的に増えたってならまぁ悪いっちゃ悪いけど、ガチの攻撃者は存在を知った時点から攻撃手段を探ってるだろうしな
フライング企業にはPHPだけでなく各団体が情報渡さないように村八分されそうだが今後のことは考えなかったのだろうか
まぁずっとAIには倫理憲章が必要と思ってるんだよねー。でも日本で代表的なのがluminならこんな事態が起こる事には不思議はないでやむを得ないかな。
まるでWordPressプラグインのソースコードを読んでいるかのような有様
これはちゃんと罰する法律が国際的に必要だし、セキュリティの枠組みから外していかないとまずい。協定破りが世界中のセキュリティ脅威を上げている。
"セキュリティ企業で事前にパッチを受け取っていた米Chainguardも、公開禁止措置を破って実行環境を公開〜他のPHPユーザーが（パッチの）リリースを待っている間に、攻撃者はバイナリ形式で修正内容を研究可能" ワァ…
生きて継続的にアップデートされている何割かと、極少数の自主停止を選んだサービスを除けば、任意コードが実行可能な状態で多くのサーバが動いてる状況ではあるんだろうな
Chainguardはこの仕組みからBANすべきだろ。言い訳もなんか苦しい
仮に今回の件を踏まえ対策をしたとしても、攻撃者がセキュリティ企業に産業スパイという形で入ってきて情報入手する可能性もあるし、従業員を買収して～という可能性もあるし、根本解決はできないだろうな
この記事をおすすめしました