JVN iPediaは2026年10月14日、MongoDB PHPドライバーの脆弱性2件を掲載しました。PHPアプリケーションで大きなデータを処理すると、プロセスの異常終了や、生成するデータの一部欠落が起きる恐れがあります。確認の対象はMongoDBサーバーだけではなく、アプリケーション側で使うドライバーの版とPHPの実行設定です。
大きなデータの変換・生成処理に不備
1件目のCVE-2026-106432は、数値型への変換に関する脆弱性です。CVSS v3という深刻度の評価指標の基本値は、NVD値で8.2、区分は「重要」です。
JVNによると、BSONエンコーダーというデータをBSON形式に変換する処理が、文字列の長さを検証せずに32ビット値へ変換します。4GiB近くの文字列を処理すると、確保したメモリ領域を越えて書き込む「ヒープバッファオーバーフロー」が起きます。プロセスメモリの破損や、PHPプロセスの異常終了につながる恐れがあります。
ただし、発生には複数ギガバイトの値を許可する、標準とは異なるランタイム設定が必要です。ランタイム設定とは、PHPを動かす際の実行設定です。対象版を使っているかだけでなく、この条件に当てはまるかも確認する必要があります。
2件目のCVE-2026-106436は、処理結果を示す戻り値の確認が不十分な脆弱性です。CVSS v3基本値はNVD値で6.5、区分は「警告」です。libbsonのサイズ制限を超えた際、一部の戻り値が適切に確認されません。
攻撃の条件は、異常に大きなデータ構造のエンコードをアプリケーションに起こせることです。認証されていない攻撃者が、処理を担うPHPワーカーを終了させたり、生成されるドキュメントからフィールドを欠落させたりする恐れがあります。
両件とも対象版は同じ、DB接続は発生条件ではない
影響を受けるMongoDB PHPドライバーの版は、両件とも次の範囲です。
- 1.3.0以上、1.21.1未満
- 2.0.0以上、2.1.11未満
- 2.2.0以上、2.5.4未満
CVE-2026-106432の発生に、MongoDBサーバーとの対話は不要です。CVE-2026-106436も、悪用にMongoDBサーバーへの接続やデータベース認証は必要ありません。DBの接続制限や認証の確認だけで、今回の点検を終えないことが重要です。
JVNはCVE-2026-106432について、ベンダー情報を参照し、適切な対策を実施するよう案内しています。取材資料には具体的な更新手順や対策期限は書かれていません。更新先と適用方法は、ベンダー情報で確認してください。
影響する会社・しない会社
- 影響する: 上記の対象版を使う会社は、両件の確認対象です。CVE-2026-106432では、複数ギガバイトの値を許可する非デフォルトの実行設定も発生条件になります。
- 影響する: 対象版を使い、異常に大きなデータ構造のエンコードをアプリケーションに起こせる会社は、CVE-2026-106436の条件確認が必要です。
- 影響しない: MongoDB PHPドライバーを使っていない会社は、今回掲載された2件の対象ではありません。MongoDBを利用しているという理由だけで、対象と判断する必要はありません。
- 影響しない: 使用版が上記の範囲外なら、今回示された影響対象には含まれません。ただし、ほかの脆弱性までないことを示すものではありません。
地域や企業規模による対象の違いは、発表には書かれていません。
情シスが今日やること
以下は社内対応の進め方の提案です。発表で定められた期限ではありません。
- 今日中に、構成管理台帳やアプリケーションの依存部品一覧で、MongoDB PHPドライバーの使用有無と版を確認します。台帳で分からない場合は、開発担当または運用委託先に、実際のPHP実行環境での確認を依頼してください。
- 対象版が見つかったら、開発担当に2件のCVE番号を伝えます。PHPの実行設定で複数ギガバイトの値を許可しているか、異常に大きなデータ構造をエンコードする経路があるかを、分けて回答してもらいます。
- 更新作業の計画を決める前に、ベンダー情報で更新先と適用方法を確認します。対象システムごとに、作業担当者、動作確認の担当者、実施予定日を記録してください。
- 業務責任者には、PHP処理の停止だけでなく、生成するデータのフィールド欠落も懸念点として知らせます。更新後の確認項目には、処理が完了するかと、必要なフィールドがそろうかの両方を入れてください。
