Denial of Service (DoS)脆弱性が、Protobuf PHPライブラリにおいて、信頼できない入力の解析中に存在します。

Protobuf PHPライブラリ (Pecl) (CVE-2026-6409) において、信頼できない入力の解析中にDenial of Service (DoS) の脆弱性が存在します。特に、負の varint 値や深い再帰を含む悪意のある構造のメッセージは、アプリケーションをクラッシュさせ、サービスの可用性に影響を与える可能性があります。攻撃者はこの脆弱性を悪用して、Protobuf PHPに依存するアプリケーションの正常な動作を妨害し、ダウンタイムや潜在的なデータ損失を引き起こす可能性があります。この脆弱性の重大性は、悪意のあるメッセージの作成が容易であり、さまざまなアプリケーションに広範囲に影響を与える可能性があることにあります。

Applications utilizing Protobuf-php to process untrusted data are at risk. This includes services that receive Protocol Buffer messages from external sources, such as APIs or user uploads. Specifically, applications with legacy Protobuf-php configurations or those lacking robust input validation are particularly vulnerable.

• php / server:

find /var/www/html -name 'protobuf-php' -type d

• php / server:

ps aux | grep 'Protobuf-php' | grep -v grep

• generic web: Check application logs for errors related to Protocol Buffer parsing or unexpected crashes around the time of the vulnerability disclosure.

1. 2026-04-16Disclosure

   disclosure

1. 予約済み2026-04-15
2. 公開日2026-04-16
3. EPSS 更新日2026-04-24

CVE-2026-6409に関連するリスクを軽減するために、Protobuf PHPライブラリをバージョン5.34.0-RC1または4.33.6にアップデートすることを強くお勧めします。これらのバージョンには、DoS脆弱性を修正する修正が含まれています。一時的な対策として、アプリケーションの信頼できない入力への露出を制限し、Protobuf PHPでデータを処理する前に厳格な入力検証を実行することを検討してください。アプリケーションログを異常な動作がないか監視することも、潜在的な悪用試行を検出するのに役立ちます。