要約

  • RIPE NCCの予防的な停止は、同センターのアカデミー、Number Resource Organization、ICANNのAddress Supporting Organizationに関わる4つのURLに及んだ。
  • PHPは10月21日に修正版を公開し、RIPEの障害記録では、更新と依存関係の準備に合わせて23日までにサイトが復旧した。

パッチの公開日と、サイトが戻る日は別のカレンダーに載る。RIPE NCCの記録は、その間の待ち時間まで残している。

10月21日17時37分（CEST）、RIPE NCCのステータスページは4サイトの停止を告知した。障害記録には academy.ripe.net、elearning-2.ripe.net、www.nro.net、aso.icann.org/aso-ac/ が並ぶ。RIPE NCCの告知は、二つの重大なPHP脆弱性が見つかったことを受けた予防措置と説明する。自組織のシステムで悪用された兆候はない、とも発表した。

日付を追うと、復旧の中身が見える。PHPプロジェクトのセキュリティ告知は10月21日14時UTCの公開を予定していた。対象はCVE-2026-109618（メモリ不足に伴う破損）とCVE-2026-109619（解放後の状態が残る問題）。PHP 8.5.12、8.4.27、8.3.36、8.2.35で修正された。いずれもPHPを使うWeb環境でリモートコード実行につながり得る脆弱性だった。

RIPE NCCの公開記録は、復旧にも段階があったと示す。10月22日、チームは上流の修正が出ており、依存関係の準備に応じてサービスを更新していると報告。23日9時22分CESTにはアカデミーとeラーニングが利用可能になり、14時32分には全サービスが復旧済みとされた。

ここが障害対応の地味な部分だ。修正が公開されても、個々のサービスは自分の更新経路を通り終えるまで待つ。「パッチ公開」はソフトウェア側の出来事。「サイト復旧」はコード、依存関係、サービスがそろって初めて下せる運用判断だ。

4つのURLは停止対象も示している。アカデミーは研修を提供し、残る二つはNROとASOの情報入口だ。RIPE NCCのステータスシステムはこの障害を「非重要サービス（RIPE NCC Academy）」に分類した。優先順位を決める分類ではあるが、各サイトのホスティング構成、復旧を遅らせた依存関係、停止中の代替公開経路は記録されていない。

公表された判断は明快だ。更新作業中はアクセスを止めた。公開タイムラインには復旧が記録された。その間をつないだ展開経路は、まだ幕の向こうにある。