協調的開示(coordinated disclosure)とは | 脆弱性を直してから公表するまでの段取りと、AIで見つかる数が増える時代の弱点
3行で捉える
- 協調的開示は、脆弱性をまず開発元に知らせ、修正ができてから一斉に公表する進め方です。
- 狙いは、直せない状態で危険だけが広まる時間を短くすることです。
- 関わる組織が増えるほど途中で漏れやすく、直す側の人手が足りなければ、伏せる期間そのものが長くなります。
意味
英語ではcoordinated disclosure。責任ある開示(responsible disclosure)とも呼ばれます。脆弱性を見つけた人が、いきなり世の中に公表するのではなく、次のような順で進めます。
まず、開発元に非公開で報告する。開発元が修正を作る。その間、見つけた側は詳細を伏せる。大きな影響がある場合は、配布元や大手の事業者にも先に伝え、回避策や更新の準備をしてもらう。そして、修正版が出る日に合わせて、情報を一斉に公表する。この、公表までは伏せるという約束の期間を、公表猶予期間(エンバーゴ)と呼ぶこともあります。
反対の極にあるのが、見つけたらすぐ全部公表するやり方です。利用者が早く知って自衛できるという利点はありますが、直す方法がない段階で攻撃する側だけが得をする、という欠点があります。
2026年10月に、何が見えたか
10月21日に公表された、世界のウェブサイトのおよそ7割が使うPHPの重大な脆弱性は、協調的開示の大きな実例になりました。見つけたセキュリティ企業は8月19日に発見し、8月24日に開発チームに報告。修正版が出た10月21日まで、技術的な詳細は伏せられました。その間に、配布元には先に修正が渡され、大手のクラウドや配信の事業者には助言や緩和策について相談がありました(レビュー)。
同時に、弱点も見えました。PHP Foundationによれば、公表の2日ほど前に、CVEの番号が誤った時刻と誤った深刻度とともに外部に漏れ(この時点で技術的な詳細は漏れていないとしています)、公表を1日前倒ししています。関わった企業の一つが実証の動画を誤って公開し、広く拡散しました。別の事業者は、取り決めより6時間以上早く修正入りのものを公開しています。
そして、同財団は、この脆弱性の修正が遅れた理由を、決め方と資源の不足による構造的な失敗だった、と自ら説明しました。PHP自体のセキュリティの仕事は、財団が資金を出す少数の開発者と、わずかな有志に支えられている、としています。
AIで、何が変わるか
AIを使った調査で、見つかる脆弱性の数は増えます。PHP Foundationは、AIを使った研究が増えた結果、7月1日以降に15件のCVEを公表した一方で、無効だったり重複していたり再現できなかったりする報告を100件以上さばいた、としています。
当サイトは、ここに協調的開示の次の課題があると考えます。報告が増えても、直すかどうかを決め、互換性の影響を考え、修正を確かめるのは人の仕事です。見つける側だけが速くなると、伏せたまま待つ列が長くなり、その分、誰かが同じ欠陥に先に気づく危険も増えます。
見るべきところ
当サイトは、大きな脆弱性のニュースを見るとき、次の三つを合わせて見ることを勧めます。
報告から公表まで、どれだけかかったか。長いほど、その間に別の誰かが気づいていた可能性も上がります。遅れた理由が説明されているかも見るところです。
更新できない人に、何が用意されたか。古いバージョンへの対応や、回避策の案内があるか。更新が最も確実な対処であっても、すぐに更新できない現場は必ずあります。
直す側に、誰がお金と人を出しているか。世界の多くが使う基盤ソフトが、少数の人の手で守られていることは珍しくありません(サプライチェーン攻撃とは)。
関連する用語とレビュー
ウェブの7割が使うPHPに重大な脆弱性(レビュー) / ゼロデイとは / サプライチェーン攻撃とは / インシデント開示とは / AI用語解説トップ