Twig サンドボックス回避（Traversable 値の __toString がポリシー検査を通らない）

High（CVSS 7.1）に分類されるtwigphp Twigの脆弱性です。PHP のテンプレート言語 Twig のサンドボックスに回避経路がある。NVD の記述によれば、3.27.0 より前のサンドボックスの __toString() 検査が、join / replace フィルタに渡された Traversable 値や、in / not in 演算子が評価する被演算子を完全には覆っておらず、その中に含まれる Stringable オブジェクトがサンドボックスポリシーを参照しないまま文字列へ変換され得る。NVD 掲載の CVSS 4.0 基本値は 7.1（High）で、ベクタは AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N。PR:L（低い権限が必要）とされているのは、テンプレートを書き込める立場が前提になるためである。修正は 3.27.0 で行われている。2026年8月13日時点で CISA KEV カタログには収載されていない。NVD の vulnStatus は Analyzed。

影響を受けるのは Twig を使っているすべてのアプリではなく、**Twig のサンドボックス機能を有効にして、信頼しない相手にテンプレートを書かせている**構成に限られる。CMS のテーマ編集、メール文面のテンプレート編集、マルチテナントでテナントごとにテンプレートを持たせる仕組みなどが該当する。自分のリポジトリ内のテンプレートしか読み込まない通常の Symfony アプリは、サンドボックス自体を使っていないので、この脆弱性の攻撃面には当たらない（ただし依存の更新は行う）。判定は composer.lock の twig/twig のバージョンと、SandboxExtension を有効化しているかの2点で行う。対処は composer update twig/twig で 3.27.0 以上へ上げること。すぐに上げられない場合の緩和として、サンドボックスの許可リストから join / replace フィルタを外し、in / not in を使うテンプレートを見直す方法があるが、これは根本対策ではないので暫定にとどめる。

twigphp Twig を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48807）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。