Cardano の開発と運営の調整を担う会員制組織 Intersect は、日本時間 10 月 22 日 1 時 48 分、会員向けのページ「Members Area (会員エリア)」を予防のため一時的にオフラインにしたと公式 X で告知しました。前日に PHP (Web サーバーで広く使われているプログラミング言語) の重大な欠陥 2 件が公表されたことを受けた措置で、理事選の投票や本人確認の手続きに使われてきた会員の入口が、いま閉じている状態です。
告知の原文は次のとおりです。
We’ve temporarily taken the Intersect Members Area offline as a precaution following reports today of PHP security vulnerabilities. Thanks for your patience while we assess any potential impact and complete the necessary checks. We’ll provide an update when the Members Area is available again.
潜在的な影響を評価し、必要な確認を終えるまで止めておき、再開するときにあらためて知らせる、という内容です。この件は初期報でお伝えしました。本稿はその続報として、止まったページが何を担っているのか、PHP の側で何が起きたのかを整理します。Cardano のガバナンスには、チェーン上の投票と並んで会員組織の手続きという層があり、そちらはごく一般的な Web の仕組みの上に乗っています。今回の停止は、その足元にも世界中のサイトと同じ更新作業が必要だということを、目に見える形にしました。
会員エリアが担ってきた手続き
会員エリア (members.intersectmbo.org) は、Intersect の会員が入会し、自分の会員資格を確かめ、手続きをする場所です。Intersect の公式サイトによると、会員には無料のアソシエイト、10 ドルの個人、1,000 ドルのエンタープライズといった段階があり、個人会員以上は年次総会での議決権を持ち、理事会への推薦を受ける資格や助成金に応募する資格も得られます。公式サイトの入会ボタンは、いずれも会員エリアの登録ページにつながっています。
9 月の理事選では、ここが投票の場所でもありました。Intersect は 9 月 23 日の告知で、本人確認を済ませた個人会員とエンタープライズ会員に「Members Area で投票を」と呼びかけています。週次アップデート第 129 号の日本語版も、会員資格が有効であること・本人確認が完了していること・投票ページのあるメンバーエリアにログインしていることの 3 点について、「いずれも members.intersectmbo.org で行えます」と案内していました。候補者の応募内容を読む場所も、会員が集まるオンライン空間 Intersect Virtual Hub への入口も、この会員エリアの中にあります。
理事選の結果は 9 月 28 日に発表済みで (既報)、いまは大きな投票の最中ではありません。今回の告知にも、停止によって期限に影響が出る手続きへの言及はありません。とはいえ、入会や本人確認、Virtual Hub への出入りは、再開まで待つことになります。
編集部が 10 月 22 日 9 時 20 分 (日本時間) に確かめた時点では、Intersect の公式サイト (intersectmbo.org) は通常どおり表示されていました。一方で会員エリアのアドレスは接続先の記録が引けず、つながらない状態でした。止まっているのは会員エリアだけで、組織の情報発信の窓口は動いています。
PHP の欠陥 2 件、ログインなしでサーバーの命令を実行される恐れ
PHP の開発チームは 10 月 20 日、重大な欠陥を直す修正版を 21 日 14 時 (UTC、日本時間 23 時) に出すと予告し、21 日に PHP 8.5.12・8.4.27・8.3.36・8.2.35 を公開しました。直したのは CVE-2026-109618 と CVE-2026-109619 の 2 件で、予告の時点で、どちらも深刻度の指標 CVSS v4.0 で 9.2 と評価されていました。
2 件に共通するのは、ログインしていない外部の人が、送りつけたリクエストでサーバー上の命令を実行できる恐れがある点です (リモートコード実行)。1 件目は、メモリ不足を扱う処理が、リクエストのデータを準備している途中で割り込み、後片付けの段階で中途半端なデータを正しいものとして扱ってしまう欠陥です。2 件目は、メモリが解放されたあとも内部の状態が残り、同じワーカーが次のリクエストを処理するときに、初期化の前にそれを使ってしまう欠陥です。
対象は、Web のリクエストを処理しているすべての PHP の環境です。公式の勧告は PHP-FPM、Apache の mod_php、php-cgi、FrankenPHP、LiteSpeed を挙げ、なかでも mod_php は、アプリケーションのコードが動く前に認証なしのリクエストで攻撃が成立することが実証されているとして、危険度がもっとも高いとしています。各版の発表には「完全な回避策はなく、更新だけが安全な選択」と書かれています。
古い版への手当ても異例でした。PHP 8.1 以前はすでに本家の更新の対象外ですが、今回は深刻さを理由に、7.4・8.0・8.1 向けに最小限の修正がソースで用意されています。8.2 も 2026 年 12 月 31 日でサポートが終わると、あわせて告知されました。Linux のディストリビューションや長期サポートの提供元には、修正が事前に渡されています。
Intersect が明かしたこと、まだ明かしていないこと
Intersect の告知は、会員エリアが PHP で動いているかどうかも、実際に影響があったかどうかも明らかにしていません。書かれているのは、報告を受けて予防的に止め、影響を評価しているという順序だけです。
この順序には理由があります。PHP の勧告は、すぐに更新できない場合の設定変更 (メモリ上限やアップロード量の見直しなど) も示していますが、それらは攻撃の経路を一部ふさぐだけで、環境を安全にするものではないと断っています。外部に開いた入口を持つ組織にとって、更新と確認が終わるまで入口ごと閉じるのは、手当ての中でもっとも確実な部類です。会員の登録や本人確認を受け付けるページであれば、なおさらです。
WordPress のように PHP で動く仕組みでサイトを運営している方にとっても、今回の件は他人事ではありません。まず確かめるのは、使っているホスティング事業者や OS のパッケージに、修正版がすでに入っているかどうかです。
再開の知らせを確かめる場所
次に見るのは、Intersect の公式 X (@IntersectMBO) での再開の告知です。告知は「再開時に知らせる」としており、そのときに影響の有無まで説明されるかが一つの確認点になります。あわせて、Intersect のニュースページ (intersectmbo.org/news) に載る週次アップデートの次号 (第 134 号) に、停止の経緯や確認の結果が書かれるかも見ておくとよいでしょう。週次アップデートは 10 月 2 日・9 日・17 日と、続けて出ています。
会員の方は、再開後にログインするとき、DM やメールで届いたリンクではなく、intersectmbo.org の Membership のページから入るのが確実です。「再開しました」「再登録が必要です」と装った偽の案内に備える意味でも、入口を公式サイトに固定しておくと安心です。
ことば
- Members Area (会員エリア) — Intersect の会員が入会・会員資格の確認・本人確認・理事選の投票を行う会員専用のページです。9 月の理事選でも投票の場になっており、今回はその入口ごと止められました。
- PHP — Web サーバーでページを組み立てるのに広く使われているプログラミング言語です。WordPress もこの上で動いており、今回の欠陥はリクエストを受けるすべての PHP の環境が対象とされました。
- CVSS — 脆弱性の深刻さを 0〜10 で表す国際的な指標です。今回の 2 件は最新版の v4.0 で 9.2 と、9.0 以上の最上位の帯「緊急 (Critical)」に入る値が付けられています。
一次ソース / 関連リンク
- Intersect 公式 X の告知 (会員エリアの一時停止)
https://x.com/IntersectMBO/status/2112949236690043321
php.net
Intersect 公式サイト Membership (会員の段階と特典)
intersectmbo.org
Intersect 週次アップデート 第 129 号 日本語版 (会員エリアでの投票手続き)
intersectmbo.org
- Intersect 公式 X の告知 (理事選の投票は Members Area で・2026 年 9 月 23 日)
https://x.com/IntersectMBO/status/2102714851684442310
