The PHP Foundationの冷静かつ深刻な報告

先週多くのWebサービスが大変なことになったPHPの脆弱性。それの発見と対処の過程をThe PHP Foundationが冷静に報告しています。
Today's PHP Security Release, and How We're Strengthening PHP Security

いろいろな所で既に紹介されていますが、要点は以下の通り。

• 今回の2つの脆弱性のうち1つの要因は2024年に発見していたが、対処できなかった
• 今年から脆弱性対応体制を整え、検証を始めた
• 今回の脆弱性は8月に改めて発見され、対処を開始した
• 10月22日に開示とリリースを予定していたが、20日に不正確な情報とともに漏れてしまったため、情報開示するとともに21日にリリースした
• ある団体は開示制限を破って情報開示した
• 今後のためには、利用者からの資金が必要である

重要なのは最後です。数十年前に言われていたOSSだから品質が高い、と今更言う人はいないでしょうが、昨今の状況下で無償の志願者だけによる維持が困難なのは明らか。OSSを利用したり、販売して収益を得ている団体は、寄付、投資、人材の提供等で支援すべきでしょう。無償だからOSSを利用すると言える時代は終わっています。

そして、情報が漏れないようにすることも重要です。かつてのOSSのメリットであった、公開の場での改善や問題の議論、例えばGitHubのissueとして脆弱性をあげて議論とか、は避けざるをえません。

本件に限らず、コンポーネントそのものやそれを利用するサービス・製品の脆弱性に対応されている方々、お疲れ様です。今後も続くことが間違いないだけに、持続して対応することを期待しています。