Yiiframework Yii の脆弱性（CVE-2024-58136）

何が起きた

Web アプリを作るための PHP の部品（フレームワーク）Yii 2 で、__class という名前の項目を使って機能を追加する処理の扱いに問題があり、外から好きなコードを動かされるおそれがあります。これは、以前の CVE-2024-4990 の修正が不完全で、問題が再び現れたもの（リグレッション）です。2025年2月から4月にかけて実際に悪用されたことが確認されており、CISA の KEV に掲載されています。攻撃者はネットワーク経由で、ログインなしに悪用できます。

誰が影響を受ける

Yii 2 の 2.0.52 より前のバージョンを使っている Web アプリが影響を受けます。CISA によると、Craft CMS のように Yii を使ったほかの製品にも影響する可能性があり、Craft CMS の件は CVE-2025-32432 として扱われています。

何をすればいい

Yii 2 を 2.0.52 以降に更新してください。Yii の公式の案内でも、2.0.52 への更新を呼びかけています。Craft CMS など Yii を使った製品を使っている場合は、その製品の公式の案内も確認してください。

やることチェックリスト

• Yii 2 を2.0.52 以降に更新する
• 使っている Yii 2 のバージョンを調べる
• Craft CMS など Yii を使った製品も調べる

用語メモ

フレームワーク

アプリを作るときによく使う機能をまとめた土台となるプログラムです。

リグレッション

一度直したはずの不具合や弱点が、その後の変更などで再び現れてしまうことです。

Craft CMS

Web サイトの内容を管理するためのソフト（CMS）の1つで、Yii を土台にして作られています。