「PHP」に複数脆弱性 - セキュリティリリースが公開

「PHP」の開発チームは現地時間2025年7月3日、セキュリティアップデート「PHP 8.4.10」「同8.3.23」「同8.2.29」「同8.1.33」を公開した。利用者にアップデートを呼びかけている。

ブランチによってバグの修正内容などは異なるが、いずれのブランチもCVEベースで3件の脆弱性が解消されている。

具体的には、「PostgreSQL」と連携するための「pgsql拡張モジュール」に脆弱性「CVE-2025-1735」が存在し、エラーチェックの欠如により「SQLインジェクション」や、NULLポインタ参照によるサービス拒否が発生するおそれがある。

「Libxml」の影響により、特定条件下で「SOAP拡張モジュール」においてNULLポインタを参照し、サービス拒否が生じる脆弱性「CVE-2025-6491」が判明。また「fsockopen関数」において、ホスト名の終端処理に脆弱性「CVE-2025-1220」が存在し、「サーバーサイドリクエストフォージェリ（SSRF）」を引き起こすおそれがある。

GitHubにおいて重要度は「CVE-2025-1735」「CVE-2025-6491」が「中（Moderate）」、「CVE-2025-1220」が「低（Low）」とレーティングされている。

開発チームでは、「PHP 8.4.10」「同8.3.23」「同8.2.29」「同8.1.33」をセキュリティリリースと位置づけ、各ブランチの利用者にアップデートを呼びかけている。

（Security NEXT - 2025/07/04 ） ツイート

PR

関連記事

米当局、脆弱性5件の悪用に注意喚起 -10年以上前の「Shellshock」関連も
「Django」に複数の脆弱性 - 修正アップデートを公開
「Firefox」に複数脆弱性 - アップデートが公開
Mozilla、最新版ブラウザ「Firefox 134」を公開 - 複数の脆弱性を修正
「Firefox 135」がリリースに - 脆弱性11件を解消
「Firefox 135.0.1」がリリース - 脆弱性1件を解消
「Firefox 136」がリリース - ESR版では「クリティカル」脆弱性を修正
「Firefox」にアップデート - Chromeゼロデイの類似脆弱性に対処
Mozilla、「Firefox 137.0.2」をリリース - 脆弱性1件を解消
「Firefox 138」がリリース - 複数の脆弱性を修正