出典: Elias Taylor 原文公開: 2026-10-21 生成: 2026-10-22 読了約 3 分 model: claude-haiku-5-5 原文: https://eliastaylor.com/noexploit/ raw.md

PHPの脆弱性に簡単な悪用手段はないと筆者が指摘、GitHub上のPoCの多くも動作せず

TL;DR: 筆者によると、このPHPの脆弱性にはまだ動作する悪用コードが見つかっていない。GitHub上には多数のPoCが存在するが、多くは標準的なPHP環境では動作しないと筆者は述べている。

筆者は2026年10月21日付の記事で、このPHPの脆弱性は容易に悪用できるものではないと論じている。脆弱性の投稿から約10時間後の時点でも、動作する悪用コードは確認されていないとしている。

脆弱性の悪用条件

筆者によると、GitHub上のPoCの多くはLFI（local-file-inclusion）に依存している。LFIを成立させるには、サーバーがすでにeval(read(filename_provided_by_user))を許容する脆弱性を抱えている必要がある。

筆者は、こうした前提条件が満たされない限り、PoCは機能しないと述べている。

筆者は、GitHub上にはPoCと称する悪用コードが数千件存在するが、標準的なPHPインスタンスに対しては動作しないと述べている。記事では次の3つのリポジトリが挙げられている。

筆者は、出回っているPoCはLLMの支援を受けて生成されており、その一部はサーバーを改変して重大な脆弱性を含めるものだと述べている。また、流通しているものは「偽物であるか、研究室環境でしか動作しない」とも記している。

記事では、PHPコアチームのメンバーの発言が引用されている。同メンバーは、パッチの公開後に悪用コードが出現し始めるまでの時間について次のように述べた。

「パッチが公開されてから15分後には悪用コードが出現し始める」

— PHPコアチームのメンバー

この記事は元記事の事実のみに基づいて自動生成されました。