「PHP」に複数脆弱性 - 修正版「同8.5.1」など公開

PHPの開発チームは現地時間2025年12月18日、複数の脆弱性を解消したアップデートを公開した。

「PHP 8.5.1」「同8.4.16」「同8.3.29」「同8.2.30」を公開したもの。いずれもセキュリティリリースと位置付けており、CVEベースで3件の脆弱性に対処した。

具体的には、配列のマージ処理を行う関数においてヒープベースのバッファオーバーフローが生じる「CVE-2025-14178」を修正。

画像サイズの取得を行う関数に確認された情報漏洩の脆弱性「CVE-2025-14177」や、「PDO」のクオート処理でNULLポインタを参照する脆弱性「CVE-2025-14180」に対応している。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「CVE-2025-14178」が「6.5」、「CVE-2025-14177」「CVE-2025-14180」が「6.3」。いずれも重要度は4段階中、上から3番目にあたる「中（Medium）」とレーティングされている。

またこれら3件の脆弱性にくわえ、「PHP 8.5.1」では依存関係にあるURIの解析処理を行うライブラリ「uriparser」の脆弱性「CVE-2025-67899」についてもあわせて修正した。

（Security NEXT - 2025/12/22 ）ツイート