広く共有されているPHPの脆弱性が注目を集めていますが、著者はこの脆弱性を悪用するのは決して容易ではないと主張しています。GitHub上には数千ものプルーフ・オブ・コンセプト（PoC）のエクスプロイトがあるにもかかわらず、著者がDockerで直接実行した標準のPHP環境に対しては、そのいずれも機能しなかったということです。
著者はこのバグを、Log4Shell、Heartbleed、Shellshock、YAMLのデコード問題といった悪名高い脆弱性と比較しています。これらはいずれも公表からわずか数時間のうちにボットネットによって悪用されるようになりました。著者によれば、PHPのPoCコードの大半はローカルファイルインクルージョン（LFI）に依存しており、これは攻撃者がファイルを読み取れるようにする別の脆弱性が、標的となるサーバーにすでに存在していなければならないことを意味します。その前提条件があるため、このバグは見出しが示唆するほど深刻ではないと著者は述べています。
また著者は、誇張された主張を広めた責任の一端がAIツールにあるとも指摘しています。多くの人々は、大規模言語モデルがパッチの差分から即座に機能する攻撃チェーンを構築できると考えていたようです。また、一部のPoCコードはこうした方法で生成されたものらしく、時にはテスト用サーバーを脆弱になるように改変されていたとのことです。
さらに著者は、ClaudeやGPTのようなツールへの広範な依存が、業界全体で設計や判断を画一化させていると付け加えています。とはいえ、この脆弱性は現実に存在し重要であると強調しており、現時点の証拠では、すぐに利用でき広く使える悪用コードが存在することは示されていない、というのが著者の見解です。
出典: Hacker News · 要約：HeadlinesBriefing