Composer には、悪意のある Perforce リポジトリ経由のコマンドインジェクションの脆弱性があります

この脆弱性は、攻撃者がComposerが実行されている環境で任意のコマンドを実行できることを意味します。攻撃者は、Perforceリポジトリの設定を悪用し、ポート、ユーザー、クライアントなどのPerforce接続パラメータを介してコマンドを注入できます。Composerは、Perforceがインストールされていなくても、これらの注入されたコマンドを実行します。これにより、機密情報の窃取、システムの改ざん、さらにはシステムの完全な制御といった深刻な影響を引き起こす可能性があります。特に、Composerをルートcomposer.jsonファイルで利用している環境は危険です。

1. 予約済み2026-04-09
2. 公開日2026-04-15
3. 更新日2026-04-16
4. EPSS 更新日2026-04-23

この脆弱性への最良の対策は、Composerをバージョン2.9.6以降にアップデートすることです。アップデートできない場合は、Perforceリポジトリの設定を厳密に管理し、信頼できないソースからのcomposer.jsonファイルの使用を避けてください。WAF（Web Application Firewall）を導入し、不審なコマンド実行を検知・ブロックすることも有効です。また、Composerの実行ユーザーの権限を最小限に抑えることで、影響範囲を限定できます。