PHP2Shell 公開までのタイムライン

2024

OSTIF の主導で Quarkslab が PHP を監査。別の報告を修正する過程で、OOM の問題が初めて見つかる。

出典: PHP Foundation

2026-05

PHP Foundation が Ecosystem Security Team を設立。

出典: PHP Foundation

2026-07

Alexandre Daubois が Foundation に参加。Calif が Patch the Planet の一環として監査を開始（7 月 30 日）。

出典: PHP Foundation

2026-08-11

Calif と OpenAI がそれぞれ独立に同じ OOM の根本原因を報告。

出典: PHP Foundation

2026-08-19

Wiz Research が最初の PHP のバグを発見。認証なしの RCE を Drupal（8 月 20 日）と WordPress（8 月 21 日）で確認。

出典: Wiz

2026-08-24

Wiz が追加の攻撃経路を PHP セキュリティチームに報告。

出典: Wiz / PHP Foundation

2026-09-09

Daniel Scherzer が Foundation のセキュリティ対応に参加。

出典: PHP Foundation

2026-09-18

OpenAI がさらなる攻撃経路を報告。

出典: PHP Foundation

2026-09-21

PHP が Wiz の報告を受理し、協調的な修正に着手。

出典: Wiz

2026-10-20 15:00 UTC

CVE 番号がフォーラムや SNS で出回り始める。誤った CVSS 10.0 が付いていた。

出典: PHP Foundation

2026-10-20 19:30 UTC

PHP が予告を前倒しで公開。

出典: PHP Foundation

2026-10-20 ~20:00 UTC

Calif が誤って PoC の動画を公開。

出典: PHP Foundation

2026-10-20 23:00 UTC

暫定対策の情報が一部の重要インフラ事業者に送られ、外部に漏れた可能性がある。

出典: PHP Foundation

2026-10-21 03:02 UTC

Cloudflare の WAF ルールが Free を含む全プランで有効に。

出典: Cloudflare

2026-10-21 07:41 UTC

Chainguard が修正済みイメージを公開し、エンバーゴを 6 時間以上破る。

出典: PHP Foundation

2026-10-21 11:51 UTC

BambooHR が予防措置としてサービスを停止（米国、カナダ、アイルランド）。

出典: BambooHR status page

2026-10-21 (CEST)

DigiD や MijnOverheid を含むオランダの政府・教育機関のサイトが予防措置として停止。

出典: NOS

2026-10-21 14:00 UTC

協調公開：PHP 8.5.12、8.4.27、8.3.36、8.2.35 と、7.4、8.0、8.1 向けのソースバックポート。当初は 10 月 22 日の予定だった。

出典: php.net / PHP Foundation

2026-10-21 15:03 UTC

BambooHR が修正を適用し、テスト中と報告。

出典: BambooHR status page