CVE-2024-8926 — PHP-CGI パラメータインジェクション(CVE-2024-4577のバイパス)

CVE-2024-8926 · CVSS v3.1 8.1 (HIGH) — CNA: PHP Group · CVE公開日 2024-10-08

概要 / What it is

Windowsの特定の非標準なコードページ設定において、CVE-2024-4577 の修正が回避され、同じ「Best-Fit」由来のコマンドラインオプション注入が成立し得る問題です。悪用されるとソース漏えいや任意のPHPコード実行につながる可能性があります。

English: Bypass of the CVE-2024-4577 fix under certain non-standard Windows code page configurations.

影響を受けるバージョン / Affected versions

• PHP 8.1.* : 8.1.30 未満
• PHP 8.2.* : 8.2.24 未満
• PHP 8.3.* : 8.3.12 未満

条件: Windows上のPHP-CGI構成かつ特定の非標準コードページ。

自分のPHPバージョンを確認する方法

• サーバーにSSHできる場合: php -v(CLI。Webサーバー側と異なる場合があります)
• Webで実際に使われているバージョン: 管理画面のサーバー情報、または一時的に phpinfo() を設置して確認し、確認後すぐ削除
• WordPress: 管理画面「ツール → サイトヘルス → 情報 → サーバー」

PHPバージョンの確認方法を詳しく見る →

対策 / Fix

• 8.1.30 / 8.2.24 / 8.3.12 以降へ更新(8.1は2025年12月31日でサポート終了のため、8.2以降の最新版へ移行を推奨)。
• PHP-CGIをWebから直接実行する構成の見直し。

よくある質問

CVE-2024-4577の対策済みでも更新が必要ですか？

はい。8.1.29/8.2.20/8.3.8でCVE-2024-4577は修正されましたが、特定条件下でその修正を回避できるのがCVE-2024-8926です。8.1.30/8.2.24/8.3.12以降が必要です。

出典 / Sources

• CVE-2024-8926 (CVE.org)
• php-src Security Advisory GHSA-p99j-rfp4-xqvq

最終確認日: 2026-10-21