B
今週中
PHPUnitの古いリモートコード実行（RCE）脆弱性であるCVE-2017-9841が、現在も積極的に悪用されていること
📌 一言でいうと
PHPUnitの古いリモートコード実行（RCE）脆弱性であるCVE-2017-9841が、現在も積極的に悪用されていることが判明しました。VulnCheckの観測では、30日間で8万回以上の攻撃試行が検出されており、特に開発用ファイルであるeval-stdin.phpが本番環境に露出しているケースが標的となっています。この脆弱性はCVSS 9.8の重大なリスクであり、認証なしで任意のPHPコードを実行される可能性があります。
🔍該当判定
- 自社でPHPを利用したWebサイトやシステムを運用している
- PHPのテストツールである「PHPUnit」を導入している
- 本番環境のサーバー内に「vendor/phpunit/eval-stdin.php」というファイルが存在する
- 本番環境に開発用ツール（Composerのdev依存関係）をそのままインストールして公開している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. 本番環境にeval-stdin.phpが存在しないか確認し、存在する場合は直ちに削除すること。2. CI/CDパイプラインにおいて 'composer install --no-dev' を使用し、開発用パッケージが本番環境に混入しないよう徹底すること。3. Webサーバー（Apache/Nginx等）の設定で vendor/ ディレクトリへの外部アクセスを禁止すること。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】PHPUnit CVE-2017-9841 の継続的な悪用について
お疲れさまです。PHPUnitの旧脆弱性に関する情報共有です。
■ 概要
PHPUnitのテスト用ファイル（eval-stdin.php）を介したリモートコード実行（RCE）の脆弱性 CVE-2017-9841 が、現在も世界的に大量にスキャン・悪用されていることが報告されています。CVSSスコアは9.8（Critical）であり、認証なしでサーバー上の任意コード実行が可能です。
■ 影響範囲
- PHPUnit 4.8.28未満 および 5.6.3未満
- 特に、本番環境に vendor/phpunit/eval-stdin.php が露出している環境
■ 対応手順
1. 本番サーバー内で `eval-stdin.php` の存在を確認し、発見した場合は即座に削除してください。
2. デプロイフローを見直し、`composer install --no-dev` を適用して開発用依存関係が本番環境に含まれないように設定してください。
3. Webサーバーの設定で `/vendor/` ディレクトリへの外部アクセスを遮断してください。
■ 参考情報
- VulnCheck 分析レポート
- CISA KEV (Known Exploited Vulnerabilities) カタログ
対応優先度: 高
対応期限: 速やかに確認してください
お疲れさまです。PHPUnitの旧脆弱性に関する情報共有です。
■ 概要
PHPUnitのテスト用ファイル（eval-stdin.php）を介したリモートコード実行（RCE）の脆弱性 CVE-2017-9841 が、現在も世界的に大量にスキャン・悪用されていることが報告されています。CVSSスコアは9.8（Critical）であり、認証なしでサーバー上の任意コード実行が可能です。
■ 影響範囲
- PHPUnit 4.8.28未満 および 5.6.3未満
- 特に、本番環境に vendor/phpunit/eval-stdin.php が露出している環境
■ 対応手順
1. 本番サーバー内で `eval-stdin.php` の存在を確認し、発見した場合は即座に削除してください。
2. デプロイフローを見直し、`composer install --no-dev` を適用して開発用依存関係が本番環境に含まれないように設定してください。
3. Webサーバーの設定で `/vendor/` ディレクトリへの外部アクセスを遮断してください。
■ 参考情報
- VulnCheck 分析レポート
- CISA KEV (Known Exploited Vulnerabilities) カタログ
対応優先度: 高
対応期限: 速やかに確認してください
Subject: [Security Advisory] Continued Exploitation of PHPUnit CVE-2017-9841
Dear IT/Security Team,
We are sharing information regarding the ongoing exploitation of a legacy vulnerability in PHPUnit.
■ Overview
CVE-2017-9841 is a critical Remote Code Execution (RCE) vulnerability (CVSS 9.8) that allows unauthenticated attackers to execute arbitrary PHP code via the `eval-stdin.php` file. Recent data from VulnCheck indicates over 80,000 attack attempts in the last 30 days.
■ Scope
- PHPUnit versions prior to 4.8.28 and 5.6.3
- Environments where the `vendor/phpunit/eval-stdin.php` file is accessible via the public internet.
■ Mitigation Steps
1. Scan production servers for the existence of `eval-stdin.php` and remove it immediately if found.
2. Ensure CI/CD pipelines use `composer install --no-dev` to prevent development dependencies from being deployed to production.
3. Configure web servers (Apache/Nginx) to block external access to the `/vendor/` directory.
■ Reference
- VulnCheck Analysis
- CISA KEV Catalog
Priority: High
Deadline: Immediate review recommended
Dear IT/Security Team,
We are sharing information regarding the ongoing exploitation of a legacy vulnerability in PHPUnit.
■ Overview
CVE-2017-9841 is a critical Remote Code Execution (RCE) vulnerability (CVSS 9.8) that allows unauthenticated attackers to execute arbitrary PHP code via the `eval-stdin.php` file. Recent data from VulnCheck indicates over 80,000 attack attempts in the last 30 days.
■ Scope
- PHPUnit versions prior to 4.8.28 and 5.6.3
- Environments where the `vendor/phpunit/eval-stdin.php` file is accessible via the public internet.
■ Mitigation Steps
1. Scan production servers for the existence of `eval-stdin.php` and remove it immediately if found.
2. Ensure CI/CD pipelines use `composer install --no-dev` to prevent development dependencies from being deployed to production.
3. Configure web servers (Apache/Nginx) to block external access to the `/vendor/` directory.
■ Reference
- VulnCheck Analysis
- CISA KEV Catalog
Priority: High
Deadline: Immediate review recommended