「PHP」に複数脆弱性 - セキュリティリリースが公開

「PHP」の開発チームは現地時間2025年7月3日、セキュリティアップデート「PHP 8.4.10」「同8.3.23」「同8.2.29」「同8.1.33」を公開した。利用者にアップデートを呼びかけている。

ブランチによってバグの修正内容などは異なるが、いずれのブランチもCVEベースで3件の脆弱性が解消されている。

具体的には、「PostgreSQL」と連携するための「pgsql拡張モジュール」に脆弱性「CVE-2025-1735」が存在し、エラーチェックの欠如により「SQLインジェクション」や、NULLポインタ参照によるサービス拒否が発生するおそれがある。

「Libxml」の影響により、特定条件下で「SOAP拡張モジュール」においてNULLポインタを参照し、サービス拒否が生じる脆弱性「CVE-2025-6491」が判明。また「fsockopen関数」において、ホスト名の終端処理に脆弱性「CVE-2025-1220」が存在し、「サーバーサイドリクエストフォージェリ（SSRF）」を引き起こすおそれがある。

GitHubにおいて重要度は「CVE-2025-1735」「CVE-2025-6491」が「中（Moderate）」、「CVE-2025-1220」が「低（Low）」とレーティングされている。

開発チームでは、「PHP 8.4.10」「同8.3.23」「同8.2.29」「同8.1.33」をセキュリティリリースと位置づけ、各ブランチの利用者にアップデートを呼びかけている。

（Security NEXT - 2025/07/04 ） ツイート

PR

関連記事

「SonicWall SMA 100」シリーズに脆弱性 - アップデートが公開
SonicWall製ファイアウォールにDoS脆弱性 - SSL VPN有効時に影響
「SonicWall Email Security」に複数脆弱性 - アップデートが公開
SonicWallのリモートアクセス製品「SMA1000」にゼロデイ脆弱性
「SonicOS」に複数のDoS脆弱性が判明 - 修正版を公開
「MS Edge」にセキュリティアップデート - 脆弱性3件を解消
米当局、ファイル転送製品「FileZen」の脆弱性悪用に注意喚起
「Firefox 148」で50件超の脆弱性を修正 - AI制御機能の追加も
「VMware Aria Operations」に複数脆弱性 - アップデートで修正
機械学習プラットフォーム「MLflow」に認証バイパスの脆弱性