注目★★★★★GitHub Advisory
Pheditor に OS コマンドインジェクション脆弱性 CVE-2026-48030
30秒で把握
- 1Pheditor の `dir` パラメータ未検証により認証済み RCE が可能
- 2TERMINAL_COMMANDS ホワイトリストを迂回・shell_exec() 直接実行
- 3修正は pheditor.php 586 行目を escapeshellarg() に置換
要約
PHPファイルエディタ Pheditor の terminal ハンドラに OS コマンドインジェクション脆弱性（CVE-2026-48030）が確認された。POST パラメータ `dir` がサニタイズされずに `shell_exec()` へ渡されるため、認証済みユーザーがシェルメタキャラクタを注入して任意の OS コマンドを実行できる。`command` パラメータにのみ適用されているホワイトリスト検証を完全に迂回し、Web サーバ権限でのリモートコード実行（RCE）が可能になる。修正方法は `pheditor.php` 586 行目の `$dir` を `escapeshellarg($dir)` に置換することで対応できる。
あなたへの影響
Pheditor をセルフホストで運用しているチームは、該当箇所を `escapeshellarg()` で修正するか、パッチ済みバージョンへの更新を即時確認すること。
推奨：ターミナル機能が有効（デフォルト）かつ外部からアクセス可能な環境では攻撃リスクが高いため、設定でターミナル機能を無効化することも当面の緩和策として有効。