リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:1970-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    php-composer2 用のこの更新は、次の問題を修正します

    - CVE-2026-40176:悪意のある Perforce リポジトリ定義によるコマンドインジェクション(bsc#1262254)。
    - CVE-2026-40261:悪意のある Perforce ソース参照/url によるコマンドインジェクション(bsc#1262255)。

    php-composer2 の変更:

    - 2.2.27 へのバージョン更新(Upstream LTS バージョンと整合性)
     * セキュリティ:git/hg/perforce/fossil 識別子の検証を強化し、で始まるブランチ名を確実にします - 問題を引き起こさないようにします(246f807b、246f807b、246f807b)
     * セキュリティ:queryP4User シェルコマンドにおける Perforce のエスケープされていないユーザー入力を修正しました(246f807b)
     * セキュリティ:ext-curlがない場合の安全でない3DES暗号の使用を修正しました(21ffece62)
     * Windows で = があるパスを処理する問題を修正しました(#11568)
    - バージョン 2.2.26 2025 年 12 月 30 日
     * セキュリティ:ANSI シーケンスインジェクションを修正しました(GHSA-59pp-r3rg-353g / CVE-2025-67746)
    - バージョン 2.2.25 2024 年 12 月 11 日
     * この LTS バージョンが最新の PHP で使用される場合に表示される廃止の通知を修正しました。ただし、最新の PHP サポートは保証もテストもされておらず、LTS リリースの主な目的はレガシー PHP バージョンのサポートです。(#12217)
     * プラグインが複数のクラスを定義する際の問題を修正(#12226)
     * php 設定に応じて出力に表示される重複エラーを修正しました(#12214)
     * いくつかのインスタンスで重複データを返す InstalledVersions を修正しました(#12225)
    - バージョン 2.2.24 2024 年 6 月 10 日
     * セキュリティ:悪意のある git ブランチ名によるコマンドインジェクションを修正しました(GHSA-47f6-5gq3-vx9c / CVE-2024-35241)
     * セキュリティ:悪意のある git/hg ブランチ名による複数のコマンドインジェクションを修正しました(GHSA-v9qv-c7wm-wgmf / CVE-2024-35242)
     * セキュリティ:無効な形式の URL 形式を使用することでバイパスされる可能性がある secure-http チェックを修正しました(fa3b9582c)
     * セキュリティ:linux での Windows 固有のチェックを含め、Filesystem::isLocalPath を修正しました(3c37a67c)
     * セキュリティ:perforce 引数のエスケープを修正しました(3773f775)
     * セキュリティ:アーカイブ抽出時の zip 爆弾の処理を修正しました(de5f7e32)
     * セキュリティ:Windows コマンドパラメーターのエスケープを修正し、最適なエンコーディングで Unicode 文字の悪用を防止しました
     * 変換(3130a7455、04a63b324)
    - バージョン 2.2.23 2024 年 2 月 8 日
     * セキュリティ:危険にさらされたベンダーディレクトリの内容を介した、コード実行および潜在的な権限昇格を修正しました(GHSA-7c6p-848j-wh5h / CVE-2024-24821)
    - バージョン 2.2.22 2023 年 9 月 29 日
     * セキュリティ:composer.phar がパブリックにアクセス可能で、PHPとして実行可能で、register_argc_argv が php.ini で有効である場合に発生する可能性のあるリモートコードの実行の脆弱性を修正しました(GHSA-jm6m-4632-36hf / CVE-2023-43655)
     * プライベートBitbucketから複数のファイルをパラレルでダウンロードする際の認証の問題を修正(#11464)
     * Windows 上の破損したジャンクションの処理を修正しました(#11550)
     * 部分的な更新を行う際のパスリポジトリパッケージでの root エイリアスのロードを修正しました(#11632)
     * OSX SecureTransport による lib-curl-openssl バージョンの解析を修正しました(#11534)
     * 別の PHP プロセスに含まれ、値を返す場合にバイナリプロキシが透過的でない問題を修正しました(#11454)
     * 読み取り専用としてマークされているプラグインクラスのサポートを修正しました(#11404)
     * GitHubレート制限レポートを修正しました(#11366)
     * % 記号を含むブランチ名によるソルバー問題の表示問題を修正しました(#11359)
    - バージョン 2.2.21 2023 年 2 月 15 日
     * インストール前チェックを行う際の PluginInstaller の extra.plugin-optional サポートを修正しました(#11326)
    - バージョン 2.2.20 2023 年 2 月 10 日
     * 非対話型(#11315)実行時に重要ではない不明なプラグインの自動無効化を可能にする extra.plugin-optional サポートを追加しました
    - バージョン 2.2.19 2023 年 2 月 4 日
     * 新しい GitHub パーソナルアクセストークンフォーマットを処理するために URL サニタイザーを修正しました(#11137)
     * _ が a-b と a_b などのパッケージ名の間の競合を回避できるようにキャッシュキーを修正しました(#11229)
     * 競合ルールに適用されないように上限無視を伴う --ignore-platform-req 処理を修正しました(#11037)
     * 0 に設定したときのCOMPOSER_DISCARD_CHANGESの処理を修正しました
    - バージョン 2.2.18 2022 年 8 月 20 日
     * COMPOSER_NO_DEVを修正しました。これにより、必須および削除の --update-no-dev でも動作するようにします(#10995)
     * 重複していない拡張子の警告が表示される問題を修正しました(#10938)
     * hg バージョン検出を修正しました(#10955)
     * キャッシュが所定の参照をロードした後に git タグが作成される際の git キャッシュの無効化の問題を修正しました(#11004)
    - バージョン 2.2.17 2022 年 7 月 13 日
     * ターゲットディレクトリが CWD 外であっても、 create-project または validate など場合に読み込まれる CWD/ベンダーからのプラグインを修正しました(#10935)
     * レガシー(Composer 1.x、例えば hirak/prestissimo)プラグインのサポートを修正しました。これは、許可プラグインにない場合、いずれにしてもロードされないため、警告/エラーを発生させなくなります(#10928)
     * --no-plugins を考慮しない許可されたプラグインに対するインストール前のチェックを修正しました(#10925)
     * disk_free_spaceを含む disable_functions のサポートを修正しました(#10936)
     * プラグインとの相互運用性の問題を回避するために常にルートパッケージのクローンを作成するように RootPackageRepository の使用を修正しました(#10940)
    - バージョン 2.2.16 2022 年 7 月 5 日
     * 壊れたインストールを回避するために警告で続行する代わりに、スローすることを許可するプラグインの非インタラクティブな動作を修正しました(#10920)
     * allow-plugins BC モードを修正し、2.2 より前に作成された古いロックファイルが、警告が表示されるだけでプラグインがフルロードされるようにインストールできます(#10920)
     * 廃止通知を修正しました(#10921)
    - バージョン 2.2.15 2022 年 7 月 1 日
     * ファイルシステムが書き込みできない場合でのキャッシュ読み取り専用のサポートを修正しました(#10906)
     * allow-plugins 使用時のタイプエラーを修正しました:true(#10909)
     * コマンドに渡された引数を受信するスクリプト@putenvを修正しました(#10846)
     * Windows上のバイナリプロキシを持つパスのスペースのサポートを修正しました(#10836)
     * ブランチを一覧表示できない場合の GitDownloader でのタイプエラーを修正しました(#10888)
     * PHP 5.3.3 の RootPackageInterface の問題を修正しました(#10895)
    - バージョン 2.2.14 2022 年 6 月 6 日
     * パッケージがまだインストールされているかどうかをチェックするときの、壊れたシンボリックリンクの処理を修正しました(#6708)
     * 名前の JSON スキーマ正規表現パターンを修正し、JS 互換性が必要(#10811)
     * bin プロキシを修正し、プロキシが別のプロキシを安全に含めるようにしました(#10823)
     * gitlab-token JSON スキーマ定義を修正(#10800)
     * openssl 3.x バージョン解析が修正され、現在は semver に準拠しているため、修正されています
     * json ファイルが読み取れない場合のタイプエラーを修正しました(#10818)
     * funding.yml での複数行の配列の解析を修正しました(#10784)
    - バージョン 2.2.13 2022 年 5 月 25 日
     * GitLab トークンを設定する際の無効な認証情報ループを修正しました(#10748)
     * PHP 8.2 の廃止を修正しました(#10766)
     * ロックファイル作成が無効な場合でも出力されるロックファイルの変更を修正しました
     * 同一のホスト名で認証を求める複数のリクエストが同時に発動された場合の競合状態を修正しました(#10763)
     * Windowsのコンマの引用を修正しました(#10775)
     * シンボリックリンク機能が無効なパスリポジトリをインストールする際の問題を修正しました(#10786)
    - バージョン 2.2.12 2022 年 4 月 13 日
     * セキュリティ:HgDriver/GitDriver のコマンドインジェクションの脆弱性を修正しました(GHSA-x7cr-6qr6-2hh6/ CVE-2022-24828)
     * DNS 解決エラーが発生した場合に再試行しない curl ダウンローダーを修正しました(#10716)
     * composer.lock ファイルが、ロックコンフィグレーションオプションが無効な場合でも使用/読み込み中であることを修正しました(#10726)
     * ロックオプションが無効化されている場合でも、ロックファイルをチェックするコマンドの検証を修正しました(#10723)
    - バージョン 2.2.11 2022 年 4 月 1 日
     * composer-schema.json で欠落している config.bitbucket-oauth を追加
     * --2.2 フラグを自己更新に追加し、Composer のバージョンを 2.2 LTS 範囲(#10682)に固定するようにしました
     * マイナー修正のために semver、jsonlint deps を更新しました
     * パッケージのパスが壊れている場合の自動ロードクラッシュの生成を修正しました(#10688)
     * ロックファイルからリロードし dev deps を抽出するときに機能しないため、 #10372 から dev-master=>dev-main エイリアスを削除しました(#10651)
    - バージョン 2.2.10 2022 年 3 月 29 日
     * API 変更による Bitbucket 承認の検出を修正しました(#10657)
     * 定義されている場合に、dist/ソースキーに関する検証コマンド警告を修正しました(#10655)
     * 破損した 0 バイト zip アーカイブの削除/処理を修正しました(#10666)
    - バージョン 2.2.9 2022 年 3 月 15 日
     * パッケージのインストールパスを変更するプラグインの回帰を修正しました。そのようなプラグインを作成している場合はドキュメントを参照してください(#10621)
    - バージョン 2.2.8 2022 年 3 月 15 日
     * ファイル自動ロードのソート順序が完全に決定論的になるように修正しました(#10617)
     * プール最適化がエッジケースを渡す問題を修正しました(#10579)
     * self.version が制約として使用される場合に require コマンドが失敗する問題を修正しました(#10593)
     * --no-ansi / 装飾が無効な出力が repo 警告で色が表示され続ける問題を修正しました(#10601)
     * プール最適化ステップのパフォーマンス改善(composer/semver#131)
    - バージョン 2.2.7 2022 年 2 月 25 日
     * composer/xdebug-handler ^3(#10528)と一緒にインストールできるようにします
     * ライセンスコマンド出力のライセンスのないパッケージのサポートを修正しました(#10537)
     * allow-plugins:警告を残していた false の処理を修正しました(#10530)
     * enum キーワードが小文字でない場合のクラスマップ生成での enum 解析を修正しました(#10521)
     * スキーマが名前のみを許可しているにもかかわらず、電子メールを必要とする init コマンドにおける作成者の解析を修正しました(#10538)
     * 存在しない(しかし、必要な他のものによって提供される)パッケージが必要な場合の、require コマンドの問題を修正しました(#10541)
     * プール最適化ステップのパフォーマンス改善(#10546)
    - バージョン 2.2.6 2022 年 2 月 4 日
     * BC Break:見落としのため、Composer 2.2.2 に追加されたバイナリの COMPOSER_BIN_DIR env var の名前を COMPOSER_RUNTIME_BIN_DIR に変更する必要がありました(#10512)
     * 次のスペースなしで enum foo:string のような構文を使用したクラスマップ生成における列挙型解析を修正しました:
    (#10498)
     * 入力を urlencode しないパッケージ検索を修正しました(#10500)
     * 再インストールコマンドが pre-install-cmd/post-install-cmd イベントを発生させない問題を修正しました(#10514)
     * symlink: true オプションが古い Windows および古い PHP コンボで無視される、パスリポジトリにおけるエッジケースを修正しました(#10482)
     * テストパッケージの最新の symfony/コンソールリリース(#10499)との互換性を修正しました
     * 一部のエラーレポートエッジケースを修正しました(#10484、 #10451、 #10493)
    - バージョン 2.2.5 2022 年 1 月 21 日
     * 実行時に Composer\InstalledVersions を使用して機能できるため、デフォルトで composer/package-versions-deprecated を無効にしました(#10458)
     * phar ファイルがディレクトリに存在する場合のアーティファクトリポジトリのクラッシュを修正しました(#10406)
     * プロキシされたバイナリパスで fseek が使用されている場合の PHP <8 でのバイナリプロキシの問題を修正しました(#10468)
     * パッケージリポジトリメタデータの文字列以外のバージョンの処理を修正しました(#10470)
    - バージョン 2.2.4 2022 年 1 月 8 日
     * インストール中に非同期プロセスを実行する際のプロセスタイムアウトの処理を修正しました
     * プロジェクトでリポジトリが無効な場合の GitLab API 処理を修正しました(#10440)
     * Unicode 文字を含む環境変数(例:APPDATA)の読み取りを修正し、WindowsのPHPバグを回避(#10434)
     * パスレポジトリがパスレポジトリによって必要とされる場合に、パスレポジトリがない部分的な更新の問題を修正しました(#10431)
     * 新しいビンプロキシを介したバイナリのソーシングのサポートを修正しました(#10389)
     * GitHub トークンに SSO 認証が必要な場合のメッセージングを修正しました(#10432)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-0b03072979 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.9.3 - 2025 年 12 月 30 日

      * セキュリティANSI シーケンスインジェクションを修正しましたGHSA-59pp-r3rg-353g / CVE-2025-67746
      * 「COMPOSER_NO_SECURITY_BLOCKING」env var が「install」コマンドによって行われる「updates」に関して考慮されない問題を修正し、「install」にも「--no-security-blocking」フラグを追加しました#12677]
      * ロックされたパッケージに脆弱性が含まれている際に「update --lock」「/ 更新ミラー」が機能しないのを修正しました#12645
      * 「client-certificate」認証実装を修正しました#12667
      * ValidatingArrayLoader で検証されなかった「php-ext」スキーマを修正しました#12694
      * 「--bump-after-update」が使用され、ロックファイルが無効のときのクラッシュを修正しました#12660
      * macOS での SecureTransport + LibreSSL のサポートを修正しました#12615
      * アドバイザリが無視される理由の表示を修正#12668
      * git で log.showSignature が有効になっている場合に互換性の問題を修正しました#12666
      * タイムアウトerr 28障害発生時に curl ダウンローダーが再試行しないのを修正しました#12662
      * 機能するために完全な Composer インスタンスを必要とする EventDispatcher を修正#12629



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Composer は、PHP の依存関係マネージャーです。 2.2.26 および 2.9.3より前の 2.x ブランチのバージョンでは、Composer のダウンロード元であるリモートソースをコントロールする攻撃者が、さまざまな Composer コマンドのターミナル出力で ANSI コントロール文字を何らかの方法で注入する可能性があります。これにより、出力がマングルされ、混乱や DoS が引き起こされる可能性があります。ターミナルアプリケーションの。実証されている悪用はなく、このため重要度は低いですが、悪用の可能性があるため引き続き CVE を公開し、ユーザーにアップグレードするべきことを通知する安全側になりたいと考えています。バージョン 2.2.26 および 2.9.3 には、この問題に対するパッチが含まれています。
    (CVE-2025-67746)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0825-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2025-67746攻撃者が制御するリモートソースを介した、さまざまな Composer コマンドのターミナル出力での ANSI コントロール文字インジェクションを修正しました。bsc#1255768

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-13b4dbe546 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ### バージョン 2.9.3 - 2025 年 12 月 30 日

      * セキュリティANSI シーケンスインジェクションを修正しましたGHSA-59pp-r3rg-353g / CVE-2025-67746
      * 「COMPOSER_NO_SECURITY_BLOCKING」env var が「install」コマンドによって行われる「updates」に関して考慮されない問題を修正し、「install」にも「--no-security-blocking」フラグを追加しました#12677]
      * ロックされたパッケージに脆弱性が含まれている際に「update --lock」「/ 更新ミラー」が機能しないのを修正しました#12645
      * 「client-certificate」認証実装を修正しました#12667
      * ValidatingArrayLoader で検証されなかった「php-ext」スキーマを修正しました#12694
      * 「--bump-after-update」が使用され、ロックファイルが無効のときのクラッシュを修正しました#12660
      * macOS での SecureTransport + LibreSSL のサポートを修正しました#12615
      * アドバイザリが無視される理由の表示を修正#12668
      * git で log.showSignature が有効になっている場合に互換性の問題を修正しました#12666
      * タイムアウトerr 28障害発生時に curl ダウンローダーが再試行しないのを修正しました#12662
      * 機能するために完全な Composer インスタンスを必要とする EventDispatcher を修正#12629



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2026-1365 のアドバイザリに記載されている脆弱性の影響を受けます。

    Composer は、PHP の依存関係マネージャーです。 2.2.26 および 2.9.3より前の 2.x ブランチのバージョンでは、Composer のダウンロード元であるリモートソースをコントロールする攻撃者が、さまざまな Composer コマンドのターミナル出力で ANSI コントロール文字を何らかの方法で注入する可能性があります。これにより、出力がマングルされ、混乱や DoS が引き起こされる可能性があります。ターミナルアプリケーションの。実証されている悪用はなく、このため重要度は低いですが、悪用の可能性があるため引き続き CVE を公開し、ユーザーにアップグレードするべきことを通知する安全側になりたいと考えています。バージョン 2.2.26 および 2.9.3 には、この問題に対するパッチが含まれています。
    (CVE-2025-67746)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20670-1 アドバイザリで言及されています。

    - CVE-2025-67746:攻撃者がコントロールするリモートソース(bsc#1255768)を介した、さまざまな Composer コマンドの端末出力における ANSI コントロール文字インジェクション。
    - CVE-2026-40176:悪意のある Perforce リポジトリ定義による任意のコマンドインジェクション(bsc#1262254)。
    - CVE-2026-40261:悪意のある Perforce ソース参照/url による任意のコマンドインジェクション(bsc#1262255)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:3105-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-45793:Github Actionsは、GitHub Actionsログで「GITHUB_TOKEN」漏えいを発行しました(bsc#1271504)。
    - CVE-2026-59946:パッケージ「bin」フィールドのパストラバーサルにより、依存関係は任意のホストファイルを「chmod」できます(bsc#1271151)。
    - CVE-2026-59947:URL 埋め込み HTTP-Basic ユーザー名が冗長ログに漏洩(bsc#1271129)。
    - CVE-2026-59948:悪意のある推移的なパッケージ名による「vendor」ディレクトリ外の任意ファイルの書き込み(bsc#1271122)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21520-1 アドバイザリで言及されています。

    - CVE-2026-45793:Github Actionsは、GitHub Actionsログで「GITHUB_TOKEN」漏えいを発行しました(bsc#1271504)。
    - CVE-2026-59946:パッケージ「bin」フィールドのパストラバーサルにより、依存関係は任意のホストファイルを「chmod」できます(bsc#1271151)。
    - CVE-2026-59947:URL 埋め込み HTTP-Basic ユーザー名が冗長ログに漏洩(bsc#1271129)。
    - CVE-2026-59948:悪意のある推移的なパッケージ名による「vendor」ディレクトリ外の任意ファイルの書き込み(bsc#1271122)。

    php-composer2 の変更:

    - s390x のバイトスワップされた署名が壊れたり、サポートされない署名を引き起こす可能性がある問題を修正します(bsc#1271729)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
315284	SUSE SLES15 セキュリティ更新:php-composer2(SUSE-SU-2026:1970-1)	Nessus	SuSE Local Security Checks	2026/5/19	2026/5/19	medium
283573	Fedora 43composer2026-0b03072979	Nessus	Fedora Local Security Checks	2026/1/13	2026/3/2	medium
280698	Linux Distros のパッチ未適用の脆弱性: CVE-2025-67746	Nessus	Misc.	2025/12/30	2026/9/2	medium
301280	SUSE SLES15 / openSUSE 15 のセキュリティ更新 : php-composer2 (SUSE-SU-2026:0825-1)	Nessus	SuSE Local Security Checks	2026/3/6	2026/3/6	medium
283686	Fedora 42composer2026-13b4dbe546	Nessus	Fedora Local Security Checks	2026/1/14	2026/3/2	medium
296225	Amazon Linux 2023 : composer (ALAS2023-2026-1365)	Nessus	Amazon Linux Local Security Checks	2026/1/23	2026/3/2	medium
313630	openSUSE 16 セキュリティ更新:php-composer2(openSUSE-SU-2026:20670-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
327741	SUSE SLES15 セキュリティ更新:php-composer2(SUSE-SU-2026:3105-1)	Nessus	SuSE Local Security Checks	2026/7/18	2026/7/18	medium
332103	openSUSE 16 セキュリティ更新:php-composer2(openSUSE-SU-2026:21520-1)	Nessus	SuSE Local Security Checks	2026/8/5	2026/8/5	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium