CVE-2026-45034

概要

PhpSpreadsheetは、スプレッドシートファイルの読み書きを行うための純粋なPHPライブラリです。1.30.5より前のバージョンでは、CVE-2026-34084はヘルパー関数 `File::prohibitWrappers` によって修正されました。このヘルパーは `parse_url($filename, PHP_URL_SCHEME)` を呼び出し、その後 `is_string($scheme) && strlen($scheme) > 1` をチェックして、`phar://`、`php://`、`data://`、`expect://` などのストリームラッパーを拒否します。このチェックは「パスにラッパーが含まれているかどうか」と同等ではありません。入力が `phar:///path/file.phar/inner` のように、スキームの後にスラッシュが3つ以上続く形式の場合、`parse_url` はスキーム文字列を返す代わりに boolean の `false` を返します。そのため `is_string($scheme)` の分岐はスキップされ、ヘルパーは例外をスローせずに戻り、呼び出し元の処理が続行されます。しかし、PHPのストリーム層は `phar:///...` を依然として有効なpharラッパーとして扱い、基盤となるpharファイルを開きます。その結果、`IOFactory::load($attackerPath)` はパッチをすり抜けて、依然としてpharラッパーに到達します。PHP 7.xでは、`is_file` を介してpharラッパーに到達するだけで、PHPがpharメタデータを自動的に逆シリアライズし、それによって攻撃者が制御するオブジェクトのマジックメソッド `__wakeup` と `__destruct` が呼び出され、完全なRCE（リモートコード実行）が可能になります。PHP 8.xでは、通常のファイル操作に対する自動メタデータ逆シリアライズが削除されたため、PhpSpreadsheet層での攻撃チェーンはpharラッパーのファイル読み取りプリミティブに縮小され、RCEは下流のコンシューマーが `Phar::getMetadata` を呼び出した場合にのみ再び発生します。この脆弱性は1.30.5で修正されています。

• CVE-2026-45034PoC

  PHPSpreadsheet の phar:// デシリアライゼーション脆弱性に対する PoC エクスプロイトで、prohibitWrappers をバイパスして、脆弱な PHP アプリケーション上でリモートコード実行を達成します。