CVE-2026-104827 react/http ライブラリのバッファ制限欠如によるPHPメモリ超過
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
react/httpライブラリのバージョン1.0.0から1.11.1までの間、ClientRequestStream::handleData()メソッドでリクエストヘッダのバッファリング処理にサイズ制限がなかったため、攻撃者が改ざんされたURLを経由してリクエストを送信させることでPHPのメモリ制限を超える可能性があります。これによりPHPプロセスがクラッシュし、イベントループやワーカープロセスの停止を引き起こすおそれがあります。影響はPHPアプリケーションに限定されますが、特にリダイレクト経由で外部URLを取得するような構成の場合は注意が必要です。該当バージョンを使用している環境では、公式リリースの1.11.1へのアップグレードを確認してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について問う。もしリクエストヘッダのバッファリングにサイズ制限がなかったとしたら、それは「無限の可能性」を意味するだろうか？
それは冗談でしょう。でも、実際にはPHPのメモリ制限を超えることでプロセスがクラッシュする可能性があります。だから、まず確認すべきは「現在の環境が該当バージョンを使っているか」です。
では、その確認はどのように行う？
リポジトリやパッケージマネージャーでインストールされたライブラリのバージョンをチェックし、CVE-2026-104827の影響範囲と公式リリースの1.11.1を比較してください。
もし影響を受けているなら、パッチ適用は必須か？
はい。しかし、変更管理のプロセスを踏まえ、テスト環境でまず適用を検証し、本番への影響を評価してください。
監視の必要性は？
リダイレクト経由で外部URLを取得する構成の場合は、PHPのメモリ使用量を監視し、異常値が発生した際に迅速に対応できるようにしておくべきです。
最後に、ベンダー情報確認の重要性を？
公式リリースの情報は公式サイトで確認し、コミュニティやサポートチャネルで最新のパッチやセキュリティアドバイスを確認してください。
では、すべての運用者は「確認→調査→適用→監視」のサイクルを踏むべきだな。
その通りです。ただし、PHPのクラッシュを避けるためにも、このサイクルを「お菓子の家」のように堅牢に構築してください。
関連キーワード: php