JVNDB-2026-024062

Sensio LabsのSymfonyにおける複数の脆弱性

Symfonyは、ウェブおよびコンソールアプリケーション向けのPHPフレームワークであり、再利用可能なPHPコンポーネントのセットです。バージョン5.4.52、6.4.40、7.4.12、および8.0.12より前のバージョンでは、server:logリスナー（Symfony\Bridge\Monolog\Command\ServerLogCommand）がデフォルトで0.0.0.0:9911にバインドし、認証や整合性チェック、またはallowed_classesのホワイトリストなしに受信した各フレームをunserialize(base64_decode($message))で処理します。そのため、任意のホストから攻撃者が選択したシリアライズされたPHPペイロードを送信でき、リスナーをクラッシュさせたり、オブジェクトインジェクションのガジェット効果を引き起こす可能性があります。この問題は、バージョン5.4.52、6.4.40、7.4.12、および8.0.12で修正されています。

Sensio Labs

• Symfony 5.4.52 未満
• Symfony 6.0.0 以上 6.4.40 未満
• Symfony 7.0.0 以上 7.4.12 未満
• Symfony 8.0.0 以上 8.0.12 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated PHP Object Deserialization in MonologBridge server:log Listener  Advisory  symfony/symfony  GitHub

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]
2. 誤った領域へのリソースの漏えい(CWE-668) [その他]

1. CVE-2026-45077

1. National Vulnerability Database (NVD) : CVE-2026-45077
2. 関連文書 : Release v5.4.52  symfony/symfony  GitHub
3. 関連文書 : Release v8.0.12  symfony/symfony  GitHub
4. 関連文書 : Release v6.4.40  symfony/symfony  GitHub
5. 関連文書 : Release v7.4.12  symfony/symfony  GitHub
6. 関連文書 : [MonologBridge] Bind server:log to localhost by default  symfony/symfony@0891b2f  GitHub

• [2026年07月17日]
    掲載