CVE-2026-95806 PHPのpharストリームラッパーによる逆シリアル化リスクと任意コード実行の脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
MISPのPHP実装では、pharストリームラッパーがウェブおよびコンソールのエントリポイントで有効になっており、これによりPHARアーカイブがディレクトリとして扱われる可能性があります。これにより、ユーザーが影響を与えるパスでファイルシステム操作が行われた場合、暗黙のunserialize()呼び出しが発生し、逆シリアル化のリスクが生じます。また、アップロードされたPHARファイル内の実行可能コードを実行できる可能性があり、任意のコード実行の脆弱性につながる恐れがあります。MISP自体や利用ライブラリではPHARアーカイブの読み込みが行われていないため、このラッパーは本来不要です。確認時は、php.iniやMISPの設定でpharラッパーが不要に有効になっていないかを確認し、不要な場合の無効化を検討してください。また、アップロードされたファイルの処理にPHARを関与させない設定が適切かを点検することが重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、もしもあなたがこの脆弱性を目の前にしたなら、なぜこのpharストリームラッパーが存在し続けるのか、問いかけたくはないか？その存在は、システムにとって本当に必要なものなのであろうか？
ソクラテス、その問いに答えるには、まずphp.iniやMISPの設定ファイルを確認しなければなりませんね。pharラッパーが本当に必要なのか、あるいは誤って有効になっていないかを点検する必要があります。また、アップロードされたファイルの処理にPHARを関与させない設定が適切かを確認するのも重要です。
では、もしもこのラッパーが有効なまま放置されたら、どのようなリスクが生じるだろう？逆シリアル化のリスクや任意のコード実行の可能性、あなたはそれらを無視できるだろうか？
もちろんです、ソクラテス。PHARアーカイブがディレクトリとして扱われると、ユーザーが影響を与えるパスでファイル操作が行われた場合、暗黙のunserialize()が発生します。これは重大なリスクです。パッチ適用や変更管理を怠ると、攻撃者がコードを実行できる状態に陥る可能性があります。
では、あなたはこの脆弱性に対応するための具体的な行動を、どのように整理するだろう？
まず、php.iniやMISPの設定でpharラッパーが不要に有効になっていないかを確認します。次に、アップロードされたファイルの処理にPHARを関与させない設定が適切かを点検します。さらに、ベンダーの情報確認やパッチ適用の状況を確認し、変更管理を厳格に実施する必要があります。監視を怠らないことも重要です。
では、この脆弱性を無視するリスクと、対応する手間のどちらが重いだろうか？
ソクラテス、もしも対応を怠れば、システムが攻撃に遭い、データやサービスが破壊される可能性があります。しかし、適切な確認と手順を踏めば、リスクは最小限に抑えられます。むしろ、手間を惜しむことこそが、真のリスクです。
関連キーワード: php