「PHP」に複数脆弱性 - セキュリティリリースが公開

「PHP」の開発チームは現地時間2025年7月3日、セキュリティアップデート「PHP 8.4.10」「同8.3.23」「同8.2.29」「同8.1.33」を公開した。利用者にアップデートを呼びかけている。

ブランチによってバグの修正内容などは異なるが、いずれのブランチもCVEベースで3件の脆弱性が解消されている。

具体的には、「PostgreSQL」と連携するための「pgsql拡張モジュール」に脆弱性「CVE-2025-1735」が存在し、エラーチェックの欠如により「SQLインジェクション」や、NULLポインタ参照によるサービス拒否が発生するおそれがある。

「Libxml」の影響により、特定条件下で「SOAP拡張モジュール」においてNULLポインタを参照し、サービス拒否が生じる脆弱性「CVE-2025-6491」が判明。また「fsockopen関数」において、ホスト名の終端処理に脆弱性「CVE-2025-1220」が存在し、「サーバーサイドリクエストフォージェリ（SSRF）」を引き起こすおそれがある。

GitHubにおいて重要度は「CVE-2025-1735」「CVE-2025-6491」が「中（Moderate）」、「CVE-2025-1220」が「低（Low）」とレーティングされている。

開発チームでは、「PHP 8.4.10」「同8.3.23」「同8.2.29」「同8.1.33」をセキュリティリリースと位置づけ、各ブランチの利用者にアップデートを呼びかけている。

（Security NEXT - 2025/07/04 ） ツイート

PR

関連記事

CMS「Drupal」の二要素認証モジュールに認証回避のおそれ
「Microsoft Edge」にアップデート - 脆弱性5件を解消
「Cisco FMC」に深刻な脆弱性 - 認証なしでコマンド実行のおそれ
Cisco、ファイアウォール製品群にアドバイザリ21件を公開
「Apache Tomcat」にアップデート - 脆弱性「MadeYouReset」を解消
「HTTP/2」実装に「MadeYouReset」脆弱性 - DoS攻撃のおそれ
「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外アドバイザリ
秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に
N-ableのIT管理ツールにゼロデイ脆弱性 - 米当局が悪用に注意喚起
Palo Alto、セキュリティアドバイザリ6件を公開