CVE-2026-111222 pfSense CE php.ini注入脆弱性でroot権限実行可能に
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Netgate pfSense CE 2.9.0までのバージョンで、認証ユーザーがタイムゾーン設定を介してphp.iniに任意のディレクティブを注入できる脆弱性が確認されています。攻撃者は、クォートや改行文字を含む値を送信することで、auto_prepend_fileを/var/db/zoneinfoに設定し、php.iniの再生成時にPHPスクリプトをroot権限で実行可能にします。このため、管理者はpfSenseのバージョンを確認し、タイムゾーン設定やphp.iniの変更履歴を点検する必要があります。また、General Setup権限を持つユーザーのアクセス制限を適切に設定し、不正な設定変更を防ぐ対策も重要です。CVE情報に記載のない回避策や影響バージョンは確認せず、パッチ適用や設定確認を推奨します。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の存在は、我々の倫理的義務にどのような問いを投げかけているだろう？管理者としての責任と、技術的リスクの狭間で立ち往生する私たちに、何が示唆されているのか？
ソクラテス、ご質問に答えましょう。まず、pfSenseのバージョンを確認し、php.iniの変更履歴を点検する必要があります。タイムゾーン設定が「UTC」や「Asia/Tokyo」など、通常の値に見えても、中にクォートや改行文字が隠れている可能性があります。これはまるで、ドアの鍵穴に隠れた鍵のようなものです。
では、その確認作業を具体的にどう行うべきか？
php.iniファイルの編集履歴を確認し、`auto_prepend_file`の値が`/var/db/zoneinfo`に設定されていないかをチェックします。また、General Setup権限を持つユーザーのアクセス制限が適切か、例えばローカルネットワークからのアクセスを制限しているかを確認しましょう。これは、城の城壁を再確認するようなものです。
パッチ適用の重要性は？
Netgateが発行したパッチを適用する必要があります。これは、船の錨をしっかり締めるように、システムの防波堤を強化する行為です。ただし、パッチ適用前に変更管理のプロセスを確認し、テスト環境で影響がないかを確認することが肝要です。
監視の観点では？
ログ監視で、php.iniの再生成をトリガーするイベント（起動時やphp-fpmの再起動）に注目し、不正なファイルの生成を検出する必要があります。これは、夜の森を歩く際に足音に耳を澄ませるようなものです。
ベンダー情報確認の意義は？
Netgateの公式サイトやNVDの情報を定期的に確認し、最新の修正状況を把握しましょう。これは、医者に定期的に診察を受けに行くようなものです。
最後に、この脆弱性が我々に教えることは？
小さな設定変更が、大きなリスクをもたらす可能性があることを。だからこそ、タイムゾーンの「時」に注意を払い、php.iniの「ファイル」に目を向けることが、管理者の使命です。
関連キーワード: php