CVE-2026-85733 FrankenPHP Dockerイメージのデフォルト設定による情報漏洩リスク
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
FrankenPHPの公式Dockerイメージ（バージョン1.12.5以前）では、デフォルトの`/app/public/index.php`が`phpinfo()`を実行しており、このファイルを上書きしていない導出イメージでは本番環境で診断ページが表示される可能性があります。これにより、環境変数やPHP設定、ロードされた拡張機能、ソフトウェアバージョンなどの機密情報が漏洩するリスクがあります。影響を受けるのは、公式イメージをそのままで利用し、`index.php`をカスタマイズしていない場合に限られます。対策としては、1.12.5へのアップグレードまたは`index.php`の上書きが挙げられます。運用環境で同様の設定が適用されているか確認し、必要に応じて修正を行う必要があります。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、仮にこの脆弱性が発生したとしたら、情報漏洩のリスクを回避するためには何が最も重要なのか？
たとえば、デフォルトの`index.php`が使われているか確認することです。Dockerイメージの`Dockerfile`を確認し、`/app/public/index.php`が上書きされているか、または`phpinfo()`が含まれていないかをチェックします。また、運用環境の`index.php`が公式イメージのデフォルトを引き継いでいないかを確認する必要があります。
では、もし既にこの脆弱性に影響を受けているとしたら、どのような対応が可能だろうか？
公式イメージのバージョンが1.12.5未満である場合、パッチ適用または`index.php`の上書きが有効です。ただし、`index.php`を上書きする際には、変更管理プロセスに従って`Dockerfile`やコンテナの定義ファイルを更新し、変更履歴を記録することが重要です。
監視の観点から見ると、この脆弱性を発見する手段は何か？
定期的なセキュリティ監査で、`/app/public/`ディレクトリ内のファイルをスキャンし、`phpinfo()`が含まれていないかを確認する仕組みを構築するべきです。また、`phpinfo()`が実行された場合にログに記録されるように、`php.ini`の`display_errors`や`log_errors`の設定を確認しておくと良いでしょう。
ベンダー情報の確認はなぜ重要なのか？
CVE-2026-85733のNVDページで、影響を受ける製品や対策方法を確認し、FrankenPHPの公式ドキュメントで`index.php`のカスタマイズ方法を再確認するのが良いです。また、ベンダーが提供するサポートや更新履歴を確認し、将来的なリスクを防ぐための情報収集が求められます。
最後に、この脆弱性に気づいた運用者にとって、最も重要な行動は何か？
「FrankenPHPはなぜ『フランケン』なのか？」と考える暇があるなら、即座に`index.php`の内容を確認し、必要に応じてパッチを適用するべきです。冗談はさておき、デフォルト設定に頼らず、自身の環境に合わせたカスタマイズを徹底しましょう。
関連キーワード: debian, php, docker