Composer に任意ファイル書き込み脆弱性、悪質パッケージで vendor 外へ侵入可能

要約

Composer に CVE-2026-59948 が報告された。信頼できない第三者リポジトリから不正なパッケージ名を持つパッケージをインストールした場合、vendor/ ディレクトリおよびプロジェクト外の任意の場所にファイルを書き込まれ、シェルスタートアップファイルや SSH authorized_keys、cron ジョブなどを改ざんされて任意コード実行されるリスクがある。Packagist.org と Private Packagist は安全だが、それ以外の第三者リポジトリで発生する。パッチは 2.2.29 と 2.10.2 で提供されており、1.x 系は影響を受けるため 2.x への移行が必須である。