情報取得日: 2026/07/14／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-45063 |
|---|---|
| 製品 | Symfony / Symfony (PHP framework) |
| CVSS | 9.1（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| 種別 (CWE) | CWE-290 なりすましによる認証バイパス |
| 登録／公開日 | 2026/07/14 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-45063 |
Symfony の X509Authenticator が、クライアント証明書の識別名（DN）から emailAddress を取り出す際に、先頭を固定しない正規表現で DN 内のどこにある emailAddress= にも一致してしまう脆弱性。信頼された証明書を持つ攻撃者が、CN などのフィールドに emailAddress の値を埋め込むことで別のユーザーになりすませる。影響は 5.4.52 未満、6.0.0 以上 6.4.40 未満、7.0.0 以上 7.4.12 未満、8.0.0 以上 8.0.12 未満。NVD 一次スコアは CVSS 3.1 基本値 9.1（Critical）。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
アプリケーションの composer 依存を 5.4.52 / 6.4.40 / 7.4.12 / 8.0.12 以降へ更新して再デプロイ
Symfony はアプリに同梱されるライブラリなので、EC2/ECS/Lambda いずれでもコンテナイメージまたはデプロイ成果物の再作成が必要。AWS 固有の修正提供はない。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
GCE/GKE/Cloud Run のアプリで composer 依存を修正版へ更新して再デプロイ
GCP 固有の修正提供はない。イメージの再ビルドが必要。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
App Service / AKS のアプリで composer 依存を修正版へ更新して再デプロイ
Azure 固有の修正提供はない。イメージまたはデプロイ成果物の再作成が必要。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
composer update symfony/security-http などアプリ側の依存更新で対応する
Symfony はディストリのパッケージではなく composer で導入するのが通常。OS のセキュリティ更新では直らない点に注意。修正コミットは 59ef484029601a7af06f5e06c6ed921fdcea5a0d。
参照リンク
|
Symfony を 5.4.52 / 6.4.40 / 7.4.12 / 8.0.12 以降へ更新するのが確実な対応（composer update）。X509Authenticator（クライアント証明書認証）を使っていない構成は影響を受けないので、まず該当機能の利用有無を確認して優先度を決める。証明書認証を使っている場合は、更新までの緩和として、信頼するCAを自組織のものだけに限定し、CN など emailAddress 以外のフィールドに任意文字列を入れられる発行フローを止める。
Critical（CVSS 9.1）に分類されるSymfony Symfony (PHP framework)の脆弱性です。Symfony の X509Authenticator が、クライアント証明書の識別名（DN）から emailAddress を取り出す際に、先頭を固定しない正規表現で DN 内のどこにある emailAddress= にも一致してしまう脆弱性。信頼された証明書を持つ攻撃者が、CN などのフィールドに emailAddress の値を埋め込むことで別のユーザーになりすませる。影響は 5.4.52 未満、6.0.0 以上 6.4.40 未満、7.0.0 以上 7.4.12 未満、8.0.0 以上 8.0.12 未満。NVD 一次スコアは CVSS 3.1 基本値 9.1（Critical）。
Symfony を 5.4.52 / 6.4.40 / 7.4.12 / 8.0.12 以降へ更新するのが確実な対応（composer update）。X509Authenticator（クライアント証明書認証）を使っていない構成は影響を受けないので、まず該当機能の利用有無を確認して優先度を決める。証明書認証を使っている場合は、更新までの緩和として、信頼するCAを自組織のものだけに限定し、CN など emailAddress 以外のフィールドに任意文字列を入れられる発行フローを止める。
Symfony Symfony (PHP framework) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-45063）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。