「CodeIgniter4」の脆弱性 CVE-2026-63223: 危険なファイルのアップロード

どんな危険があるか

CodeIgniter 4 の is_image および mime_in アップロード検証ルールに脆弱性が存在します。この脆弱性が悪用されると、リモートの攻撃者は、不正なファイル拡張子を持つ実行可能なコンテンツ（PHPスクリプトなど）をサーバーにアップロードすることが可能です。アプリケーションがアップロードされたファイルをクライアントが指定したファイル名でウェブアクセス可能なディレクトリに保存している場合、攻撃者は任意のコードを実行し、結果としてシステムの完全な制御を奪う可能性があります。これにより、機密情報の窃取やウェブサイトの改ざん、サービス停止といった甚大な被害が発生する恐れがあります。

今すぐやること

この脆弱性を修正するには、CodeIgniter 4 をバージョン 4.7.4 以降に直ちにアップデートしてください。アップデートが困難な場合でも、アプリケーションがアップロードファイルの検証時に、提供データで言及されているような ext_in ルールなどを用いて、ファイル拡張子を独立して厳密にチェックしていることを確認してください。また、アップロードされたファイルがウェブから直接実行可能なディレクトリに保存されないよう、設定を見直すことも重要です。詳細な修正内容や推奨されるセキュリティ対策については、ベンダーが提供するアドバイザリを必ず確認してください。