KirbyはPHPの組み込みサーバーのルーターでパス・トラバーサル脆弱性があります

この脆弱性は、getkirby/cmsがPHPの組み込みサーバーを使用してローカルで実行されている場合にのみ影響します。攻撃者は、パス・トラバーサル攻撃を利用して、ウェブサーバーのドキュメントルート外にあるファイルにアクセスできます。これにより、ソースコード、設定ファイル、データベースのバックアップなど、機密情報が漏洩する可能性があります。攻撃者は、この脆弱性を悪用して、サーバー上で任意のコードを実行できる可能性も否定できません。ただし、Apache、nginx、Caddyなどの他のサーバーソフトウェアを使用している環境では、この脆弱性は影響しません。

Developers and system administrators using getkirby/cms in local development environments with PHP's built-in web server are at the highest risk. Shared hosting environments that default to PHP's built-in server for development purposes are also potentially vulnerable. Those using Kirby CMS for local testing or prototyping are particularly susceptible.

• php: Check for the presence of router.php in the document root and verify that PHP's built-in web server is not enabled in production.

ps aux | grep -i php-fpm

• generic web: Examine access logs for unusual file requests containing .. sequences.

grep '../' /var/log/apache2/access.log

1. 2025-05-13Disclosure

   disclosure

1. 予約済み2025-03-18
2. 公開日2025-05-13
3. EPSS 更新日2026-03-23

この脆弱性への主な対策は、getkirby/cmsをバージョン3.9.8.3以降にアップデートすることです。ローカル開発環境でPHPの組み込みサーバーを使用している場合は、特にアップデートを優先してください。もしアップデートが困難な場合は、PHPの組み込みサーバーの使用を避け、Apache、nginx、Caddyなどの別のサーバーソフトウェアを使用することを検討してください。WAFやプロキシサーバーを導入し、不正なパス・トラバーサル攻撃を検知・防御することも有効です。