CVE-2026-73694 FileRunにOSコマンドインジェクションの脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
FileRunの2026年3月0日前のバージョンに、OSコマンドインジェクションの脆弱性が存在します。CLI.phpでescapeshellcmd()の再定義により、シェルメタキャラクタのエスケープ処理が無効化され、ユーザー入力が適切にサニタイズされずにexec()に渡される可能性があります。攻撃者は、スーパーユーザー認証が必要なimage_preview.phpのargsパラメータを悪用するか、またはthumbnails_ffmpeg_argsやthumbnails_ffmpeg_ssに悪意のあるペイロードを保存し、動画サムネイル生成時に任意のコマンドを実行できる可能性があります。この脆弱性は、PHPの処理に影響を与えるため、Linuxサーバー運用者は使用しているFileRunのバージョンを確認し、2026年3月0日以降のパッチ適用が推奨されます。確認時は、CLI.phpのescapeshellcmd()の定義や、ファイルアップロード時のサニタイズ処理が適切に実装されているかを重点的にチェックしてください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は「エスケープ処理の無効化」という奇妙な仕組みで成り立っているようだが、あなたはその「無効化」がなぜ起こるのか、哲学者として語ってみよう。
ああ、それはCLI.phpでescapeshellcmd()が再定義され、本来のエスケープ処理が無視されるためです。つまり、コードの「再定義」が攻撃の鍵です。運用者はまず、自身の環境でCLI.phpのescapeshellcmd()がどう定義されているかを確認すべきでしょう。
では、この脆弱性が「任意のコマンド実行」に至るまでの論理的流れは？
攻撃者は、image_preview.phpのargsパラメータやthumbnails_ffmpeg_argsに悪意のあるペイロードを仕込むことで、サムネイル生成時にコマンドが実行されるのです。運用者は、ファイルアップロード時のサニタイズ処理が適切に実装されているかを重点的にチェックする必要があります。
しかし、パッチ適用の重要性を問うなら、あなたはどのように説明する？
2026年3月0日以降のバージョンにパッチが含まれているため、運用者は自身のFileRunのバージョンを確認し、速やかに更新すべきです。変更管理の文書にも記録し、監視システムでパッチ適用の状況を可視化する手も必要です。
では、ベンダー情報の確認は？
NVDのリンクやベンダーの公式サイトで、脆弱性の詳細や対応策を再度確認しましょう。これは「哲学的探求」ではなく、現場の「確認作業」です。
最後に、この脆弱性がLinux運用者に与える教訓は？
「コードの再定義」は危険な領域です。定期的なコードレビューとサニタイズ処理の検証、パッチ適用の習慣が、哲学的倫理よりも現実的な防衛策です。でも、焦らずに、まずはCLI.phpを確認しましょう。
関連キーワード: php