10月23日、Jowi Moralesが「Devastated forum user who accidentally broke the PHP news embargo comes clean」と題した記事を公開した。PHPの深刻な脆弱性に関するエンバーゴ（情報公開制限）を知らずに破ってしまったHacker Newsユーザーが、公開謝罪に至るまでの経緯を詳報している。
発端は悪意のない一投稿だった。PHP Foundationが慎重に計画していた協調的開示（Coordinated Vulnerability Disclosure）のスケジュールを、コミュニティへの善意の情報共有が一気に崩した。情報を受け取った人間が次々と拡散し、最終的にFoundationは公開を1日前倒しせざるを得なかった。セキュリティ界隈では珍しくない「連鎖的なエンバーゴ破り」が、今回も現実のものとなった。
「エンバーゴを知らなかった」——petecooperの告白
Hacker Newsに問題の投稿をしたのは、ユーザーpetecooperだ。PHPの4週間リリースサイクルを追うコミュニティに向け、緊急性の高い脆弱性情報を急いで共有しようとしたのがきっかけだった。
対象の脆弱性はCVE-2026-109618とCVE-2026-109619の2件。いずれもCVSSスコア9.2という深刻なPHPランタイムのRCE（リモートコード実行）脆弱性で、OpenAIのAIモデル「ChatGPT Sol」を用いた解析で発見されたとされている。CVSSスコアは脆弱性の深刻度を0〜10で示す指標で、9.2は「Critical（緊急）」に相当する。
協調的開示とは、脆弱性の発見者・報告者・ベンダー・セキュリティ機関が連携し、修正パッチの準備が整うまで公開を控えることで悪用リスクを最小化する業界標準のプロセスだ。この期間中の情報公開制限が「エンバーゴ」と呼ばれる。PHP Foundationは、影響を受けるサーバーにパッチが適用されるまでの猶予期間を確保するため、このプロセスを計画していた。
投稿後、自身の行為が開示スケジュールに影響を与えたことを知ったpetecooperは、Hacker Newsに謝罪文を投稿した。
「CVE-2026-109618とCVE-2026-109619に関連するPHPのRCEについて投稿した。協調的開示のスケジュールに相当な影響を与え、追加の作業負担を生じさせたことを理解している。本当に申し訳なかった。全責任は私にある。投稿時点でエンバーゴの存在を知らなかった。私に情報を伝えた人物はエンバーゴがないと言っており、その人物も同様の説明を受けていた。」
— petecooper（Hacker News）
petecooper本人は「関係組織とは一切無関係」と明言しており、自営のコンサルタントであり、メンタルヘルス系非営利団体のソロファウンダーだという。悪意はなく、情報伝達の連鎖の中でエンバーゴの存在を知らされないまま巻き込まれた格好だ。
petecooperは「最初」でも「唯一」でもなかった
ただし、petecooperは最初の漏洩者でも唯一の漏洩者でもなかった。SNSなど複数のプラットフォームですでに情報が流通しており、PHP Foundationは公式発表を1日前倒しせざるを得なかった。
さらにPHP Foundationは、セキュリティサービスプロバイダーの**Chainguardが6時間以上早くエンバーゴを破ったと名指しで批判した。Chainguardはソフトウェアサプライチェーンセキュリティを専門とする企業で、コンテナイメージや依存関係の脆弱性管理で知られる。同社の共同創業者兼CEOであるDan Lorenc**はLinkedInで反論し、複数の研究者と協議した上での判断であり、修正を公開した直後に顧客だけでなくグループへ通知したと説明している。
今回の構図を整理すると、「情報を渡す際にエンバーゴの存在を伝え忘れた者が複数存在した」ことで連鎖的な漏洩が発生したものだ。petecooperはその伝達経路の中で意図せず情報を受け取り、そのまま発信してしまった。
AIが脆弱性を「発見」する時代の協調的開示
今回見落とせないのは、問題の脆弱性がAIツールによって発見されたとされている点だ。PHPはWebサーバーサイドで依然として広く使われており、W3Techsの調査によれば全Webサイトの約75%がPHPを採用しているとされる。その基盤的な言語にCritical相当の脆弱性が見つかれば、影響範囲は膨大だ。
AIが広く使われているコードベースを人間より早く・広く探索できるようになると、発見から公開までの時間的猶予が圧縮される。修正パッチの展開が追いつく前に悪用される競争は、今後さらに激しくなる可能性がある。
エンバーゴ破りはセキュリティコミュニティで繰り返されてきた問題だが、情報が複数のルートで高速に流通する現在、「誰がいつ何を知っているか」を管理する難しさは増している。PHP Foundationのような組織が今後どのように協調的開示のプロセスを強化するかが、業界全体の課題として問われている。
詳細はDevastated forum user who accidentally broke the PHP news embargo comes cleanを参照していただきたい。
