JVNDB-2026-002513

Sensio LabsのSymfonyにおける引数の挿入または変更に関する脆弱性

Symfonyはウェブおよびコンソールアプリケーション向けのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン5.4.51、6.4.33、7.3.11、7.4.5、8.0.5より前のSymfony Processコンポーネントは、Windows上で引数のエスケープを行う際に、一部の文字（特に「=」）を「特殊文字」として正しく扱いませんでした。MSYS2ベースの環境（例：Git Bash）からPHPが実行され、Symfony ProcessがネイティブのWindows実行ファイルを起動すると、MSYS2の引数やパスの変換により、これらの文字を含む引用符で囲まれていない引数が誤って処理される可能性があります。これにより、起動したプロセスはSymfonyが意図した内容と比較して破損または切り詰められた引数を受け取ることがあります。アプリケーション（またはComposerスクリプトなどのツール）がSymfony Processを利用してパス引数に「=」を含むファイル管理コマンド（例：rmdir、delなど）を呼び出す場合、MSYS2の変換レイヤーが実行時に引数を変更することがあります。影響を受ける環境では、これにより意図しないパスに対して操作が実行され、広範囲のディレクトリまたはドライブの内容が削除される可能性もあります。この問題は、信頼されていない入力がプロセス引数に直接または間接的に影響を与える場合（リポジトリパス、展開されたアーカイブパス、一時ディレクトリ、ユーザー制御の設定など）に特に重要です。バージョン5.4.51、6.4.33、7.3.11、7.4.5、8.0.5にはこの問題の修正が含まれています。いくつかの回避策も利用可能です。Windows上のMSYS2ベースのシェルからPHPや自分のツールを実行するのは避け、ネイティブ実行ファイルを起動するワークフローではcmd.exeやPowerShellを用いることを推奨します。Git BashやMSYS2環境下でSymfony Processに「=」を含むパス（および類似のMSYS2に敏感な文字）を渡すことは避けてください。必要に応じて、MSYS2の引数変換を無効化または制限するよう設定（例：MSYS2_ARG_CONV_EXCL環境変数の設定）を行うことも可能ですが、この設定は他のツールの動作に影響を及ぼす場合があります。

Sensio Labs

• Symfony 5.4.51 未満
• Symfony 6.4.0 以上 6.4.33 未満
• Symfony 7.3.0 以上 7.3.11 未満
• Symfony 7.4.0 以上 7.4.5 未満
• Symfony 8.0.0 以上 8.0.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Incorrect argument escaping under MSYS2/Git Bash on Windows can lead to destructive file operations  Advisory  symfony/symfony  GitHub

1. 引数の挿入または変更(CWE-88) [その他]

1. CVE-2026-24739

1. National Vulnerability Database (NVD) : CVE-2026-24739
2. 関連文書 : [Process] Fix escaping for MSYS on Windows  symfony/symfony@ec154f6  GitHub
3. 関連文書 : [Process] Escaping issues with MSYS  Issue #62921  symfony/symfony
4. 関連文書 : [Process] Fix escaping for MSYS on Windows by nicolas-grekas  Pull Request #63164  symfony/symfony  GitHub
5. 関連文書 : bug #63164 [Process] Fix escaping for MSYS on Windows (nicolas-grekas)  symfony/symfony@3520393  GitHub

• [2026年02月04日]
    掲載