PHP の PostgreSQL 拡張にバックスラッシュのエスケープ漏れによる SQL インジェクション

Critical（CVSS 9.8）に分類されるPHP PHP 8.2.0〜8.2.32 / 8.3.0〜8.3.32 / 8.4.0〜8.4.23 / 8.5.0〜8.5.8（ext-pgsql を使う構成）の脆弱性です。PHP の PostgreSQL 拡張（ext-pgsql）に SQL インジェクションがある。php-src の公式アドバイザリ GHSA-7qpv-r5mr-78m4 によれば、原因は php_pgsql_convert() が値を組み立てる際に使う PQescapeStringConn() が、PostgreSQL 9.1 以降の既定である standard_conforming_strings = on のもとではバックスラッシュをエスケープしないことにある。この設定では通常の文字列リテラルはバックスラッシュを特別扱いしないので、PQescapeStringConn() がバックスラッシュをそのまま通すのは仕様どおりである。ところが php_pgsql_convert() は値を E'...' 形式（エスケープ文字列定数）に入れて組み立てており、この形式ではバックスラッシュがエスケープ文字として解釈される。結果として、攻撃者がバックスラッシュに続けて単一引用符を送り込むと、リテラルの外へ抜け出して任意の SQL を継ぎ足せる。影響を受けるのは php_pgsql_convert() を経由する pg_insert() / pg_update() / pg_select() / pg_delete() の4関数で、pg_query_params() のようなサーバ側でパラメータを渡す関数は該当しない。修正版は 8.2.33 / 8.3.33 / 8.4.24 / 8.5.9 である。深刻度の評価は採番元と NVD で分かれており、CNA である PHP は CVSS 4.0 で 8.1 High、NVD は独自評価（Primary）として CVSS 3.1 で 9.8 Critical を付けている。本サイトは NVD の Primary 評価を採用している。CISA の KEV には本稿の確認時点（2026-08-23）で収載されていない。

対応の順序は、（1）ext-pgsql を実際に使っているかの確認、（2）4関数の使用有無の確認、（3）更新、である。まず ext-pgsql を読み込んでいない環境は影響を受けない。php -m の一覧に pgsql が出るかで判定でき、PostgreSQL を PDO_pgsql だけで使っている構成も本件の対象外である。ここで対象を絞れると、更新の優先度をかなり下げられる場合がある。次に、ext-pgsql を使っていても、影響するのは pg_insert() / pg_update() / pg_select() / pg_delete() の4関数に限られる。この4関数は連想配列をそのままテーブルの行に写す用途で使われるもので、pg_query_params() や PDO のプリペアドステートメントを使っているコードは経路が異なる。grep で4関数の呼び出し箇所を洗い、外部入力が配列の値として届く経路があるかを見る。呼び出しがゼロなら、更新は通常のセキュリティ更新の枠で扱ってよい。三つ目が更新である。8.2 系なら 8.2.33、8.3 系なら 8.3.33、8.4 系なら 8.4.24、8.5 系なら 8.5.9 以降へ上げる。系列をまたぐ移行は不要で、いずれもパッチリリースである。なお Debian は php7.4（bullseye）についても本件を対象として 7.4.33-1+deb11u12 で修正しており（DLA-4733-1）、NVD の記載する 8.2 系以降だけが対象とは限らない点に注意する。サポート切れの系列を独自ビルドで使っている場合は、自分のビルドに php_pgsql_convert() の該当コードが含まれるかを確認すること。緩和策はベンダーから提示されていない。更新までの間に取れる措置としては、該当4関数を pg_query_params() 相当の書き方へ置き換えることが実質的な回避になるが、これはコード変更であって設定による回避ではない。完了条件は、（1）ext-pgsql を使う全ホストが修正版以降であること、（2）該当4関数を使うコードについて外部入力の経路を確認済みであること、の2点である。

PHP PHP 8.2.0〜8.2.32 / 8.3.0〜8.3.32 / 8.4.0〜8.4.23 / 8.5.0〜8.5.8（ext-pgsql を使う構成） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-17543）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。