脆弱性の詳細
PHP：ブラウザー上での不正な処理
PHP 本体CVE-2026-6735重要度：中悪用状況：未確認修正版情報ありPHPにブラウザー上での不正な処理に関する脆弱性情報があります。影響を受ける条件を確認してください。
どんな危険？
利用者のブラウザー上で不正なスクリプトが動く可能性があります。成立条件は原文を確認してください。
- 対象
- PHP 8.2系 / PHP-FPM：< 8.2.31（修正版 8.2.31 に対応する系列。旧系列の影響は原文確認）PHP 8.3系 / PHP-FPM：< 8.3.31（修正版 8.3.31 に対応する系列。旧系列の影響は原文確認）PHP 8.4系 / PHP-FPM：< 8.4.21（修正版 8.4.21 に対応する系列。旧系列の影響は原文確認）PHP 8.5系 / PHP-FPM：< 8.5.6（修正版 8.5.6 に対応する系列。旧系列の影響は原文確認）
- 修正版
- 8.2.318.3.318.4.218.5.6
どうすればいい？
- 使っている製品名・バージョン・構成を、影響を受ける条件と照合してください。
- 公式の修正版を確認し、バックアップと動作確認のうえで更新してください。
- 更新後は稼働中のバージョンと動作を確認してください。管理を委託している場合は、提供元に対応状況を確認してください。
悪用状況の「未確認」は、悪用されていないことを意味しません。対策は製品・バージョン・利用条件によって異なります。適用前に情報源とご自身の環境を確認してください。
情報の出典と更新日時
原文と条件を確認
Improper sanitization of the request URI within the PHP-FPM status page allows an attacker to execute arbitrary JavaScript code (XSS) on the victims machine, possibly stealing cookies on insufficiently hardened systems, or stealing other sensitive data such as the information from the status page itself. An attacker does not require authentication or access to the `/status` endpoint in order to trigger XSS, but may simply visit a URI embedding the malicious code. 1. Navigate to `example.com/<script>alert()</script>` 2. Navigate to `example.com/status?full&html` 3. Observe the JavaScript pop-up. The same is possible for the XML endpoint, possibly embedding malicious XML nodes into the status report. 1. Navigate to `example.com/<` 2. Navigate to `example.com/status?full&xml` 3. Observe the XML parsing error.