「PHP」に複数の脆弱性 - セキュリティリリースを公開

「PHP」の開発チームは現地時間2026年7月30日、複数の脆弱性を修正したセキュリティアップデート「PHP 8.5.9」「同8.4.24」「同8.3.33」「同8.2.33」をリリースした。各ブランチの利用者にアップデートを呼びかけている。

今回公開した「同8.3.33」「同8.2.33」では、3件の脆弱性に対応した。「PostgreSQL」に関する処理を行う「ext-pgsql」では、文字列処理の不備「CVE-2026-17543」が確認された。文字列を途中で終了させ、後続部分をSQL構文として解釈させることが可能となる。

循環するシンボリックリンクを含むPharアーカイブにより無制限の再帰処理が生じ、サービス拒否を引き起こすおそれがある「CVE-2026-7260」が明らかとなっている。

あわせて画像の読み込みや書き出しを行うサードパーティ製ライブラリ「libgd」に関連した脆弱性「CVE-2026-9672」にも対応した。

また「同8.5.9」「同8.4.24」では、これら3件の脆弱性にくわえて、「BCMath」において域外メモリへの書き込みが発生する「CVE-2026-17544」にも対応。あわせて4件の脆弱性を解消した。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは、「CVE-2026-17543」「CVE-2026-17544」がともに「8.1」と評価されており、重要度は「高（High）」、「CVE-2026-7260」は「5.4」、重要度が「中（Medium）」とされている。

（Security NEXT - 2026/07/31 ）ツイート