Symfony製品に複数の脆弱性、サービス拒否の恐れと対象版の確認を

CERT-FRは2026年10月15日、Symfony製品の複数の脆弱性を公表しました。攻撃者が遠隔からサービス拒否を引き起こす恐れがあります。対象となる4製品はバージョンの条件が異なるため、情シスは開発担当や委託先と利用状況を確認する必要があります。

遠隔からサービス拒否のおそれ

今回の公表では、サービスを正常に利用できなくする「サービス拒否」の恐れが示されています。関連する脆弱性識別子は、CVE-2026-108082、CVE-2026-109413、CVE-2026-109449です。

取材資料には、攻撃が成立する詳しい設定条件や、実際に悪用されたかどうかは書かれていません。製品名が一致するだけで被害が発生したと判断せず、まず利用しているバージョンを照合することが重要です。

CERT-FRは、修正の入手に当たって開発元のセキュリティ情報を参照するよう案内しています。日本での提供は発表には書かれていません。

4製品で異なる対象バージョン

影響対象として示された条件は、次のとおりです。「未満」は、記載したバージョンそのものを含みません。

• symfony/expression-language：5.4.54未満。6.xは6.4.48未満、7.xは7.4.21未満、8.xは8.1.9未満。
• symfony/http-foundation：5.4.54未満。6.xは6.4.46未満、7.xは7.4.19未満、8.xは8.1.7未満。
• symfony/symfony：5.4.54未満。6.xは6.4.48未満、7.xは7.4.21未満、8.xは8.1.9未満。
• symfony/yaml：5.4.54未満。6.xは6.4.45未満、7.xは7.4.18未満、8.xは8.1.6未満。

例えば、6.xの対象条件は、symfony/http-foundationでは6.4.46未満、symfony/yamlでは6.4.45未満です。「Symfonyの6.xを使用中」という情報だけでは、今回の対象かを判定できません。製品名とバージョンを組にして確認してください。

また、この一覧は影響対象の条件です。更新先は数字だけで決めず、開発元のセキュリティ情報で修正方法を確認する必要があります。

影響する会社・しない会社

• 影響する: 上記4製品のいずれかを、記載された対象バージョンで使っている会社です。社内の利用システムと、確認した製品名・版をひも付けて対応を管理してください。
• 影響する: 開発担当や委託先から対象バージョンの利用が報告された会社です。情シスが直接更新を行わない場合も、更新計画と完了報告の確認が必要です。
• 影響しない: 上記4製品を使っていないと確認できた会社は、今回示された対象には当たりません。未確認の場合は「使っていない」と扱わず、確認待ちとして管理してください。
• 影響しない: 各製品・系列について、記載された対象範囲に入らない版は、今回の一覧上は対象外です。ただし、ほかの脆弱性もないことを意味するものではありません。

情シスが今日やること

1. 本日中を目安に、利用状況の確認を依頼します。 開発担当と保守委託先へ4製品の一覧を送り、利用システム名、製品名、稼働中のバージョン、保守担当者の回答を求めます。発表には、確認に使う管理画面の指定はありません。開発側で管理している依存関係の一覧や構成記録を確認してもらいます。
2. 回答を対象条件と照合します。 システムごとに「対象」「対象外」「未確認」を記録します。同じ系列でも製品ごとに条件が異なるため、一つの製品の確認結果をほかへ流用しないでください。
3. 対象が判明したら、開発元の情報を確認します。 開発担当・委託先に、修正の入手先、更新方法、動作確認の範囲、作業予定日の提示を依頼します。CERT-FRの案内に沿って確認し、対象範囲の境界だけを根拠に更新先を確定しないようにします。
4. 更新計画を業務側と共有します。 対象システムの業務責任者に、サービス拒否の恐れと対応予定を伝えます。更新後は適用した版と動作確認結果を受け取り、未確認のシステムが残っていないかを再点検してください。対応期限は資料にはないため、社内で期限と責任者を決めて管理します。