情報取得日: 2026/07/14／最終確認: 2026/08/10・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-45069 |
|---|---|
| 製品 | Symfony / symfony/security-http（OidcTokenHandler） |
| CVSS | 9.1（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| 種別 (CWE) | CWE-345 データ真正性の検証不足 |
| 登録／公開日 | 2026/07/14 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-45069 |
PHP フレームワーク Symfony の OidcTokenHandler が、aud（対象者）・iss（発行者）・exp（有効期限）のチェッカーを登録しながら、必須クレーム一覧を ClaimCheckerManager::check() に渡していなかった。このため署名は正しいがこれらのクレームを欠いた JWT が検証を通過し、OpenID Connect による認証を回避できる。影響は symfony/security-http および symfony/symfony の 6.3〜6.4.39 / 7.4.0〜7.4.11 / 8.0.0-BETA1〜8.0.11。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
composer update で symfony/security-http を 6.4.40 / 7.4.12 / 8.0.12 以降へ更新し再デプロイする
AWS 固有の修正提供は無い。アプリケーションの依存関係更新で対応する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Cloud Run / GCE 等で動かす Symfony アプリの依存を修正版へ更新して再デプロイする
GCP 固有の修正提供は無い。イメージを作り直す運用なら composer.lock の更新を忘れないこと。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
App Service / AKS 上の Symfony アプリの依存を修正版へ更新して再デプロイする
Azure 固有の修正提供は無い。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
Composer で導入した symfony/security-http を修正版へ更新する
ディストリの php-symfony 系パッケージを使っている場合は、そのディストリのセキュリティトラッカーで修正提供の有無を確認する（本ランでは未確認）。
参照リンク
|
symfony/security-http（または symfony/symfony）を 6.4.40 / 7.4.12 / 8.0.12 以降へ更新する。公式アドバイザリに回避策の記載は無いため、更新が唯一の対応となる。OIDC を使っていないアプリケーションは OidcTokenHandler を通らないため影響を受けない。
Critical（CVSS 9.1）に分類されるSymfony symfony/security-http（OidcTokenHandler）の脆弱性です。PHP フレームワーク Symfony の OidcTokenHandler が、aud（対象者）・iss（発行者）・exp（有効期限）のチェッカーを登録しながら、必須クレーム一覧を ClaimCheckerManager::check() に渡していなかった。このため署名は正しいがこれらのクレームを欠いた JWT が検証を通過し、OpenID Connect による認証を回避できる。影響は symfony/security-http および symfony/symfony の 6.3〜6.4.39 / 7.4.0〜7.4.11 / 8.0.0-BETA1〜8.0.11。
symfony/security-http（または symfony/symfony）を 6.4.40 / 7.4.12 / 8.0.12 以降へ更新する。公式アドバイザリに回避策の記載は無いため、更新が唯一の対応となる。OIDC を使っていないアプリケーションは OidcTokenHandler を通らないため影響を受けない。
Symfony symfony/security-http（OidcTokenHandler） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-45069）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/10）。