WR 株式会社WR 松戸のホームページ制作・社内システム・IT相談

株式会社WR

千葉県松戸市
松戸・柏・市川・流山・船橋 対応

ホーム›脆弱性情報›PHP›CVE-2026-91766

警告 CVSS 5.9 PHP CVE-2026-91766 公表 2026年9月25日

PHPのリダイレクトで認証情報が漏れる不備

PHP — CVE-2026-91766

自分のサイトが該当するか無料診断 → 原文を見る（NVD（米国 脆弱性データベース））↗

どんな問題か

PHPのhttpストリームで、別の場所へ転送されたときに認証情報をそのまま引き継いでしまう問題があります。移動先が別ドメインでも、送ってしまうことがあります。

放置するとどうなるか

本来の相手だけに渡すはずのログイン情報やCookieが、別のサイトに漏れるおそれがあります。アカウント乗っ取りにつながる可能性があります。

今すぐやること

PHPを修正版へ更新してください。外部URLへ自動転送する処理がある場合は、AuthorizationやCookieを送らない設定にできるか確認してください。

自分のサイトが該当するかの確認手順

  1. レンタルサーバーの管理画面（PHP設定／PHPバージョン切替）で、現在のバージョンを確認します。
  2. サポート終了のバージョン（8.1以下）や、対象バージョンに当てはまる場合は、サーバー側で新しいバージョンへ切り替えます。切り替え後にサイトが正常に表示されるか必ず確認してください。
  3. 切り替えでサイトが壊れる場合は、プログラム側の修正が必要です。当社の無料診断で原因を調べられます。
原文（英語）を表示
When the http:// stream wrapper follows a redirect it forwards the user-supplied Authorization, Cookie and Proxy-Authorization headers unchanged, even when the redirect target is a different host, a different port, or a downgrade from HTTPS to HTTP. A server that can steer a redirect therefore receives credentials that were only meant for the original origin. This is the same class of issue that libcurl fixed in 7.58.0 ( CVE-2018-1000007 https://github.com/advisories/GHSA-g7x2-hrfp-pv5f ).

※ 解説は NVD（米国 脆弱性データベース） の公表内容をもとにAIが生成しています。対象バージョン・修正版などの正確な情報は、必ず原文をご確認ください。

無料で相談する →