Twig サンドボックス回避（Traversable 値の __toString がポリシー検査を通らない）

Critical（CVSS 9.1）に分類されるtwigphp Twigの脆弱性です。PHP のテンプレート言語 Twig のサンドボックスに回避経路がある。NVD の記述によれば、3.27.0 より前のサンドボックスの __toString() 検査が、join / replace フィルタに渡された Traversable 値や、in / not in 演算子が評価する被演算子を完全には覆っておらず、その中に含まれる Stringable オブジェクトがサンドボックスポリシーを参照しないまま文字列へ変換され得る。NVD 掲載の評価は 2026年8月に改定され、CVSS 4.0 の 7.1（High）から CVSS 3.1 の 9.1（Critical）へ変わった。改定後のベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N である。当初は PR:L（低い権限が必要）＝テンプレートを書き込める立場が前提と評価されていたが、改定後は PR:N（権限不要）になっている。サンドボックスは「信頼できない者が書いたテンプレートを安全に実行する」ための仕組みなので、そこを回避できることは権限のない攻撃者に届くという評価に変わった、と読むのが妥当である。深刻度も High から Critical へ上がっている。修正は 3.27.0 で行われている。2026年8月13日時点で CISA KEV カタログには収載されていない。NVD の vulnStatus は Analyzed。

影響を受けるのは Twig を使っているすべてのアプリではなく、**Twig のサンドボックス機能を有効にして、信頼しない相手にテンプレートを書かせている**構成に限られる。CMS のテーマ編集、メール文面のテンプレート編集、マルチテナントでテナントごとにテンプレートを持たせる仕組みなどが該当する。自分のリポジトリ内のテンプレートしか読み込まない通常の Symfony アプリは、サンドボックス自体を使っていないので、この脆弱性の攻撃面には当たらない（ただし依存の更新は行う）。判定は composer.lock の twig/twig のバージョンと、SandboxExtension を有効化しているかの2点で行う。対処は composer update twig/twig で 3.27.0 以上へ上げること。すぐに上げられない場合の緩和として、サンドボックスの許可リストから join / replace フィルタを外し、in / not in を使うテンプレートを見直す方法があるが、これは根本対策ではないので暫定にとどめる。

twigphp Twig を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48807）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。