「PHP」に複数脆弱性 - セキュリティアップデートがリリース

「PHP」の開発チームは現地時間2025年3月13日、セキュリティアップデート「PHP 8.4.5」「同8.3.19」「同8.2.28」「同8.1.32」をリリースした。複数の脆弱性を修正している。

CVEベースで「HTTPストリームラッパー」に関連する5件の脆弱性に対処した。具体的には、ヘッダ解析時に改行を正しく解釈できない「CVE-2025-1217」、コロンのない無効なヘッダを適切に処理できない「CVE-2025-1734」を修正。

特定の条件下で「Basic認証」のヘッダが送信されない脆弱性「CVE-2025-1736」、リダイレクト時の「Locationヘッダ」が1024バイトで切り詰められる脆弱性「CVE-2025-1861」を解決した。

また「HTTPストリームラッパー」のリダイレクト時、「libxml」においてリソースで誤った「content-typeヘッダ」を用いる脆弱性「CVE-2025-1219」に対応している。

さらに「PHP 8.4.5」「同8.3.19」では、これら5件にくわえて、解放後のメモリを使用するいわゆる「Use After Free」の脆弱性「CVE-2024-11235」を解消。重要度はいずれも「中（Medium）」とレーティングしている。

開発チームでは、セキュリティリリースと位置づけており、各ブランチの利用者に対してアップデートを呼びかけている。

（Security NEXT - 2025/03/17 ）ツイート