Twig の template_from_string() がサンドボックスのセキュリティポリシーを迂回する

Critical（CVSS 9.8）に分類されるTwig (Symfony) Twig 3.9.0 以上 3.26.0 未満の脆弱性です。PHP のテンプレートエンジン Twig で、サンドボックスの制限が一部の経路で効かない。 NVD の記述によれば、影響を受けるのは 3.9.0 以上 3.26.0 未満で、修正版は 3.26.0 である。原因は `template_from_string()` が内部テンプレートを `__string_template__<ハッシュ>` という合成した名前でコンパイルする点にある。この名前が `SourcePolicyInterface` によるサンドボックス判定の対象範囲から外れることがあり、その結果、サンドボックス下にあるはずのテンプレートが `template_from_string` と `include` を組み合わせて、セキュリティポリシーの適用されない内部テンプレートを描画できてしまう。 前提を補足する。Twig のサンドボックスは、**信頼できない書き手にテンプレートを触らせるための機構**である。呼び出してよい関数・フィルタ・タグ・プロパティを許可リストで縛り、それ以外を実行時に拒否する。CMS のテーマ編集、メール文面のテンプレート、管理画面での通知文の編集など、「利用者にテンプレートを書かせるが、任意のコードは実行させたくない」場面で使われる。 つまり今回の欠陥は、**その前提が成り立たない経路がある**という話である。サンドボックスを使っていないアプリケーションには、この CVE による新しい危険は生じない（もともとテンプレートの書き手を信頼している構成のため）。逆に、サンドボックスを信頼して外部の書き手にテンプレートを開放している構成では、許可リストの外にある機能へ到達され得る。 CVSS は NVD で 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）と評価されている。ネットワークから、権限も利用者操作も不要で到達でき、機密性・完全性・可用性のすべてに高い影響がある、という内訳である。**自分の構成がサンドボックスに依存しているかどうかで実際の危険度は大きく変わる**ため、スコアだけでなく利用形態を先に確認するのが正しい読み方である。 2026-08-11 時点で CISA KEV には収載されていない。

**Twig を 3.26.0 以上へ更新するのが恒久対応である。** Composer 管理なら `composer update twig/twig` で上げられる。Symfony や Drupal のように Twig を内部で使うフレームワーク・CMS を経由して入っている場合は、それぞれの上位パッケージ側の更新が必要になることがあるので、`composer why twig/twig` で依存元を確認してから上げる。 **更新前に、まず自分の構成が影響を受けるかを切り分ける。** 判断は次の2点で付く。①アプリケーションで Twig のサンドボックス（`SandboxExtension` / `SourcePolicyInterface`）を有効にしているか。②信頼できない書き手のテンプレートを実行しているか。この両方が該当する構成が対象である。片方でも該当しなければ、この CVE による新しい露出は無い（ただし更新は行うこと）。 **すぐに更新できない場合の緩和は、`template_from_string` を許可リストから外すことである。** サンドボックスの許可関数からこの関数を落とせば、今回の経路の入口が閉じる。テンプレート側でこの関数を実際に使っていないかを、リポジトリ全文検索（`grep -rn "template_from_string" templates/`）で先に確認する。合わせて `include` の使い方も見ておく。 **事後の確認は、テンプレートの変更履歴と実行ログで行う。** 利用者がテンプレートを保存できる機構がある場合、その保存履歴に `template_from_string` を含む投稿が無いかを検索する。PHP のエラーログに、サンドボックス違反の例外（`Twig\Sandbox\SecurityError`）が普段と違う頻度で出ていないかも見る。**サンドボックスは違反時に例外を投げる設計なので、迂回に成功した攻撃はログに出ない**点に注意する。出ていないことは安全の証拠にならない。

Twig (Symfony) Twig 3.9.0 以上 3.26.0 未満 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-46634）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。