CVE-2026-108358 PhpSpreadsheet XMLパース脆弱性注意
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
PHPで動作するスプレッドシート処理ライブラリPhpSpreadsheetのバージョン1.30.7以前、2.1.19以前、2.4.8以前、3.10.8以前、5.10.0以前に、XLSXファイルのXMLパース処理に脆弱性があります。攻撃者が作成したXLSXファイルを処理させると、XMLのDOCTYPE検出にエスケープシーケンスが影響し、意図しないエンティティ展開やローカルファイルアクセス、SSRF（Server Side Request Forgery）が発生する可能性があります。PHPバージョン8.0未満またはLIBXML_NOENTが有効な環境では特に影響が深刻です。PHPスクリプトでPhpSpreadsheetを用いるアプリケーションや、libxml関連の設定を確認する必要がある運用環境では、影響範囲の確認と対応バージョンへの更新を検討してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えたことはあるか？PhpSpreadsheetのXML処理に潜む危険は、まるでスフィンクスのパズルのように、見えない手が私たちのシステムを操作しているように思えるではないか。
（少し戸惑いながら）確かに、ソクラテス。しかし、まずは現実の観点から考えましょう。PHPのバージョンやlibxmlの設定を確認していないと、この脆弱性の影響を正確に把握できません。例えば、LIBXML_NOENTが有効になっている環境では、特に注意が必要です。
では、この「手」をどう防ぐべきか？パッチ適用は当然のことながら、変更管理のプロセスも見逃してはならないな。システムに適用する際、テスト環境での影響を事前に確認する習慣が重要ではないか？
その通りです。また、監視の観点でも、不正なXMLの処理を検出するためのログ設定を整える必要があります。ベンダー情報も確認し、PhpSpreadsheetの公式サイトでどのバージョンが修正済みかを明確に把握しましょう。
では、この「パズル」を解くにあたって、最も重要なのは何だろう？
（少し笑いながら）「パッチを適用する前に、今の自分の環境をよく知ること」です。さもなくば、まるでスフィンクスの答えを無視して、ただ答えを呑み込むだけの危険に陥ってしまいます。
さすがプラトン。現実の管理者としての視点が、哲学的な問いを具体化している。この脆弱性に対応するには、技術と哲学のバランスが肝要だな。
（軽く頷き）そして、忘れてはならないのは、ベンダーの情報更新と、変更管理の文書化です。それが、次の「スフィンクス」に備えるための鍵です。
関連キーワード: php, libxml