#なぜ今日これを選んだか

今日の回転枠はバグバウンティ30分です。脆弱性は「見つける力」だけでなく「いつ・誰に・どう伝えるか」の作法で評価が決まります。善意の投稿が開示の日程を動かしてしまったこの一件は、報告する側に立つ前に読んでおく価値があると思い選びました。

#要点

• 投稿者は、PHPの重大なRCE脆弱性（CVE-2026-109618 / 109619）の更新を急ぐよう呼びかけるためHNに投稿した。「embargoは無い」と聞いていたが、実際は協調的開示の途中で、日程の変更と追加作業が発生した
• コメント欄では「embargoに参加していない人は縛られない、責任は情報を漏らした参加者側にある」と「重大さから察するべきだった」で意見が割れた
• embargoの目的は、パッチが当てられる状態になるまで詳細を広めず、攻撃者に先を越させないこと。一方で「AIで脆弱性が見つけやすくなった今、効果は薄れている」という声もあった

#自分にとっての示唆

バグバウンティでは、見つけた脆弱性を勝手に公開すると報酬が出ないだけでなく、プログラムから外されます。どのプログラムにも「scope（対象）」と「disclosure policy（公開の条件）」が書かれていて、ここを読まずに始めるのは危険です。今日の30分は、HackerOneかBugcrowdで対象を1つ選び、その2項目だけを読んで「何を触ってよく、いつ公開してよいか」を一言メモに残します。腕より先に作法を身につけておくと、外資の面接でも「責任ある開示を理解している」と話せる材料になります。

原文を読む →