GHSA-r925-mgvr-h9cc / CVE-2026-108082
WATRIX GUIDE
影響する
使用技術の兆候から要確認を案内Symfonyの
Symfony の版は外からは確定できません。2026年10月27日に、ログインなしで負荷をかけてサービスを止められるおそれがある脆弱性2件（YAML の入れ子が深い文書を処理するとき: GHSA-2v3c-qxhr-7vpv、Cache-Control ヘッダの解析に時間がかかるとき: GHSA-r925-mgvr-h9cc）が公表されました。影響を受けるのは symfony/symfony 等の 5.4.54 より前、6.x は 6.4.48 より前、7.x は 7.4.21 より前、8.x は 8.1.9 より前です（YAML の脆弱性は 6.4.45、7.4.18、8.1.6 より前）。危ないかもしれないので、composer.lock で symfony/symfony（symfony/yaml、symfony/http-foundation）の版を調べてください。
WATRIXの関連する日本語解説／確認日：2026/10/28。公開元の原典とは区別して掲載しています。
影響を確かめるには
- 無料診断では、外部から見える技術の使用の兆候を調べます。バージョンや脆弱性への該当は確定できません。
- 管理画面やサーバ内の構成・設定を確認する必要があります。
対処の進め方
- Symfony を 5.4.54 以降、6.x は 6.4.48 以降、7.x は 7.4.21 以降、8.x は 8.1.9 以降へ更新してください
- CVSS
- 8.7
- 公開元の公表日時
- 2026/10/28 4:01
- 公開元の更新日時
- 2026/10/28 4:01
- 当サイトの収集処理
- 2026/10/31 17:00
原典の説明
公開元の記載です。上のWATRIXの日本語解説と併せて、最新の情報をご確認ください。
Symfony: ReDoS in HeaderUtils::split() Reachable Through the Cache-Control Request Header
### Description `HeaderUtils::split()` parsed header values with a pattern whose token alternative also matched whitespace, followed by a `(?<!\s)` lookbehind. A run of whitespace placed before a separator could be divided among the iterations of the enclosing repetition in exponentially many ways, and the engine tried all of them before settling. `HeaderBag` calls it for the `Cache-Control` header whenever a `Request` is built, so any application handling HTTP requests is reachable, with no authentication. A single request carrying such a header costs close to a second of CPU (813 ms for a run of 17 spaces in an 8 KB header on PHP 8.5, doubling with each extra space). From 18 spaces on, `preg_match_all()` gives up at `pcre.backtrack_limit` and `split()` returns an empty array, so every directive of the header is silently dropped. ### Resolution The pattern now consumes whitespace only when more of the value follows it, so a value can no longer end on whitespace, nothing has to be given back, and every quantifier is possessive. The first release of this fix broke splitting on a whitespace separator: `HeaderUtils::split('foo bar', ' ')` returned a single value in 6.4.46 to 6.4.47, 7.4.19 to 7.4.20 and 8.1.7 to 8.1.8. Whitespace characters used as separators are now left out of the whitespace branch, which 6.4.48, 7.4.21 and 8.1.9 contain. The patches for this issue are available [here](https://github.com/symfony/symfony/commit/343a1772ce6ac03e48b228d2d7168d19750e3f36) for branch 5.4 (and forward-ported to 6.4, 7.4, 8.1 and 8.2). ### Credits Symfony would like to thank [r3verii](https://github.com/r3verii) for reporting the issue and Nicolas Grekas for providing the fix. Symfony would also like to thank [Bruno Dias](https://github.com/cx-bruno-dias) from Checkmarx for his help getting a CVE assigned.
公開元の対処情報
個別の対処手順は未記録です。開発元の最新の案内と、対象の製品・系列に合う修正版を確認してください。
出典・著作権・ライセンスを確認する
- 出典
GitHub Advisory Database
- 利用許諾
CC-BY-4.0
- 利用条件
当サイトでの保存履歴
当サイトが取得した原本の履歴です。公開元での過去の改訂日時とは異なります。
初回保存のみです。訂正前の版はまだありません。
現在の保存内容2026/10/31 17:00
掲載中修正版あり
このページは公表情報を確認するためのデータです。製品を使っているだけで被害や脆弱性への該当が確定するものではありません。現在のバージョン、設定条件、開発元の更新情報を確認してください。