- ひとことでPHP 用の部品 Yii 2 に、外から好きなコードを動かされるおそれがある弱点です。
- 深刻度9.8 緊急CVSS v3.1
- まずやることYii 2 を2.0.52 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2024-58136 |
|---|---|
| 製品 | Yiiframework Yii |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2025-05-02 |
| 米国政府機関の対応期限 | 2025-05-23 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-424 |
何が起きた
Web アプリを作るための PHP の部品（フレームワーク）Yii 2 で、__class という名前の項目を使って機能を追加する処理の扱いに問題があり、外から好きなコードを動かされるおそれがあります。これは、以前の CVE-2024-4990 の修正が不完全で、問題が再び現れたもの（リグレッション）です。2025年2月から4月にかけて実際に悪用されたことが確認されており、CISA の KEV に掲載されています。攻撃者はネットワーク経由で、ログインなしに悪用できます。
誰が影響を受ける
Yii 2 の 2.0.52 より前のバージョンを使っている Web アプリが影響を受けます。CISA によると、Craft CMS のように Yii を使ったほかの製品にも影響する可能性があり、Craft CMS の件は CVE-2025-32432 として扱われています。
何をすればいい
Yii 2 を 2.0.52 以降に更新してください。Yii の公式の案内でも、2.0.52 への更新を呼びかけています。Craft CMS など Yii を使った製品を使っている場合は、その製品の公式の案内も確認してください。
やることチェックリスト
- Yii 2 を2.0.52 以降に更新する
- 使っている Yii 2 のバージョンを調べる
- Craft CMS など Yii を使った製品も調べる
用語メモ
- フレームワーク 用語集で見る
- アプリを作るときによく使う機能をまとめた土台となるプログラムです。
- リグレッション
- 一度直したはずの不具合や弱点が、その後の変更などで再び現れてしまうことです。
- Craft CMS
- Web サイトの内容を管理するためのソフト（CMS）の1つで、Yii を土台にして作られています。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Yiiframework Yii Improper Protection of Alternate Path Vulnerability
概要
Yii Framework contains an improper protection of alternate path vulnerability that may allow a remote attacker to execute arbitrary code. This vulnerability could affect other products that implement Yii, including—but not limited to—Craft CMS, as represented by CVE-2025-32432.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る