要約

  • PHPが未認証のリモートコード実行につながる重大な脆弱性を2件公表し、ICANNはPHPを使う3サイトを一時停止した。
  • 新gTLDの申請・公開システムはPHPに依存せず稼働を継続し、パッチのテスト後に3サイトが復旧した。

ICANNの対応は、自らのウェブサービスに明確な境界線を引いた。3つのサイトは停止した一方、新しい汎用トップレベルドメインの申請を受け付け、結果を公開するシステムは動き続けた。違いは基盤ソフトウェアにあった。

10月21日、PHPプロジェクトは未認証のリモートコード実行につながる可能性がある重大な脆弱性を2件公表した。1件はメモリ不足の処理でリクエスト情報が未完成のまま後片付けに入る問題、もう1件は解放済みメモリに属していた内部状態を後続リクエストが使う問題だ。修正版はPHP 8.5.12、8.4.27、8.3.36、8.2.35として案内された。

ICANNはPHPを使うサイトとして、ジェネリック名前支持組織（GNSO）のサイトと、2026年・2012年の新gTLDプログラムのサイトを一時停止したと説明した。ICANNは、システムに悪影響が出た兆候はないと発表した。申請公開・統計システム（APS）とトップレベルドメイン申請管理システム（TAMS）はPHPベースではなく、利用可能な状態を保った。

申請者にとって、この分離には実務上の意味があった。2026年ラウンドの申請者ガイドブックは、ラウンドのサイトが止まっている間もICANN.orgから入手できた。10月22日、ICANNはPHP Foundationのパッチを適用してテストし、3サイトを復旧したと更新した。

停止は短期間でも、サービスの境界は見えた。公開サイトは影響を受けたPHP環境を共有していたが、申請・公開システムはその依存から分かれていた。代替経路によって、プログラムの基準となる文書も閲覧できた。ソフトウェア依存がどこで止まるかを、具体的な一連の対応が示している。

ICANNの告知は、停止した3サイトのPHPバージョンを明らかにしていない。それでも、サイトを隔離し、中核システムの稼働を保ち、パッチをテストしてから復旧するというサービス分担は読み取れる。

出典：ICANNの対応と復旧発表／PHPプロジェクトのセキュリティ勧告。