注目★★★★★GitHub Advisory
Pimcore 2026.1.4にPHP Object Injection、修正を急げ
30秒で把握
- 1Pimcore v2026.1.4とv12.3.8でCVE-2026-55220を再現
- 2Hotspotimageが許可リストなしでPHPデータをunserialize
- 3guzzlehttp/guzzle 7.11.0で任意ファイル書き込みを実証
要約
PimcoreのHotspotimageで、保存データをクラス許可リストなしでunserializeする脆弱性CVE-2026-55220が確認された。細工したシリアライズ済みバイト列を書き込める攻撃者は、PHP Object Injection（CWE-502）により任意クラスを生成でき、同梱のguzzlehttp/guzzle 7.11.0を使った検証では任意ファイル書き込みに至った。影響はHotspotimageだけでなく、同じ処理を使うImageGallery、Block、Videoにも及ぶ。影響対象には保守中の全リリースが含まれ、最新のv2026.1.4とv12.3.8でも再現した。
あなたへの影響
Pimcoreを運用する日本の開発チームは、近日中に修正版の有無を確認し、影響するフィールドと保存領域への書き込み経路を監査してください。
推奨：攻撃には細工データを書き込む権限や経路が必要ですが、unserializeの許可リスト設定とログを重点確認すべきです。