phpMyFAQのSQLインジェクション脆弱性

MySQL — CVE-2026-109573

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国脆弱性データベース））↗

どんな問題か

phpMyFAQ 4.1.9より前で、検索文字列の扱いに問題があり、SQL文を不正に差し込まれるおそれがあります。特定の記号の扱いが原因で、入力の安全確認が崩れます。

放置するとどうなるか

設定情報や認証情報が盗まれたり、データを改ざん・削除されたりするおそれがあります。サイト運用に大きな影響が出ます。

今すぐやること

phpMyFAQを 4.1.9 へ更新してください。データベースの設定に NO_BACKSLASH_ESCAPES を使っている場合は、保守会社に至急確認を依頼してください。

自分のサイトが該当するかの確認手順

お使いのサーバー・プログラムに MySQL が使われているか、制作会社・保守会社・サーバー会社に確認します（管理画面やサーバーのバージョン表示でも分かります）。
バージョンが「before 4.1.9」に当てはまるか確認します。
当てはまる場合は、修正版へのアップデートを依頼します。レンタルサーバーの場合はサーバー会社側で対応済みのこともあるので、お知らせを確認してください。

原文（英語）を表示

phpMyFAQ before 4.1.9 contains an SQL injection vulnerability in PdoMysql::escape(), which escapes single quotes with backslashes that are treated literally when MySQL or MariaDB runs in NO_BACKSLASH_ESCAPES mode. Unauthenticated attackers can send a Unicode right single quotation mark in the search parameter of api/autocomplete, which is normalized to an ASCII quote, to read credentials and configuration secrets, modify records, or drop tables.

※ 解説は NVD（米国脆弱性データベース）の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。