CVE-2026-45793Patch

PHP依存管理ツールComposerで、GitHub認証トークンがCI/CDログへ平文漏洩する重大欠陥が判明した。多数のリポジトリが認証情報窃取の危険に晒されている。 Composer共同開発者のNils Adermannは、CVE-2026-45793（CVSS 7.5）として追跡される脆弱性について緊急警告を発表した。問題はGitHubが導入した新形式のGITHUB_TOKENおよびGitHub Appインストールトークンにハイフン（-）が含まれるようになったことに起因する。 Composer側では2021年から使われていた検証ロジックがこの文字を許可しておらず、新形式トークンを「無効な文字を含む」と判定。その際、エラーメッセージ内へ完全なトークン文字列をそのままstderrへ出力していた。 CI/CD環境ではstderrがジョブログとして保存されることが多く、結果としてGitHub認証トークンが平文で記録される状態となっていた。さらにGitHub Actionsのシークレットマスキングは、改行や文字列分割が発生すると正確に伏字化できず、漏洩防止に失敗する場合がある。 影響範囲は広く、GitHub Appトークンを設定した状態でComposerコマンドを実行するワークフローが対象となる。GitHubホスト型ランナーでは漏洩トークンは最大6時間、自前運用のセルフホスト型では最大24時間有効となる可能性がある。 Composerチームは修正版2.9.8およびLTS版2.2.28を公開済みで、例外メッセージからトークン表示を削除し、新形式を受け入れるよう正規表現を修正した。利用者には即時アップデート、CI/CDログ監査、漏洩トークンの失効とローテーションが推奨されている。 https://securityonline.info/composer-github-token-leak-vulnerability-cve-2026-45793/

Composer CVE-2026-45793 leaks GitHub tokens into CI/CD logs due to a validation error. Update to version 2.9.8 now and audit your GitHub Action logs. #PHP #Composer #GitHub #CyberSecurity #InfoSec #CICD #DevOps #VulnerabilityAlert #CVE #WebDev #TechNews https://securityonline.info/composer-github-token-leak-vulnerability-cve-2026-45793/ https://t.co/l6GdUdCGa6

【巻き添え】ComposerにログへのGitHubトークン漏洩の脆弱性。CVE-2026-45793は検証ロジックがGitHub側のトークン文字列が-を含むようになった仕様変更に追従できておらず、検証不適合でstderrにトークン入りのエラーログが吐かれてしまうもの。修正あり。 https://securityonline.info/composer-github-token-leak-vulnerability-cve-2026-45793/

🚨 Update Composer to 2.9.8 / 2.2.28 (or 1.10.28) CVE-2026-45793 leaks your GITHUB_TOKEN into public Actions logs when using 𝚜𝚑𝚒𝚟𝚊𝚖𝚖𝚊𝚝𝚑𝚞𝚛/𝚜𝚎𝚝𝚞𝚙-𝚙𝚑𝚙 with 𝚌𝚘𝚖𝚙𝚘𝚜𝚎𝚛 𝚒𝚗𝚜𝚝𝚊𝚕𝚕: https://blog.packagist.com/composer-2-9-8-and-2-2-28-fix-github-actions-token-disclosure-in-error-messages/

🚨 High - Composer GitHub Actions Token Disclosure (CVE-2026-45793) Composer may expose GitHub Actions GITHUB_TOKEN values in CI logs when processing newer GitHub token formats containing hyphens (-). The issue occurs during token validation failures, causing the full token to be written to stderr and potentially leaked through workflow logs. The issue primarily affects GitHub Actions environments using Composer-integrated workflows and auto-configured OAuth tokens. 👉 Affected: Composer >= 2.3.0 < 2.9.8 | >= 2.0.0 < 2.2.28 | >= 1.0 < 1.10.28 👉 Fix: Upgrade to 2.9.8 / 2.2.28 / 1.10.28 and review CI logs for potential token exposure

🚨 GitHub ActionsのCIログに、管理者権限トークンが平文で出力されていた。 Composer CVE-2026-45793（CVSS 7.5）。PHPプロジェクトをGitHub ActionsでCI回している人、ほぼ全員に関係します。 ⚠️何が起きた GitHubが4月にトークン形式を変更（ハイフン入りに） → Composer側の検証正規表現がコケる → 例外メッセージにトークン全文を載せてCIログへstderr出力。GitHub Actionsの自動マスキングをすり抜けて、生のトークンがログに見える状態に。 特にヤバいのはパブリックリポ。ログは誰でも閲覧可能で、漏れたトークンを拾えばリポジトリへの書き込みやシークレット抜き取りが可能。 GitHubは一旦ロールアウトをロールバック済みですが、過去に出力されたログ自体は消えていません。 ✅対策は1行 composer self-update 2.9.8 過去Actionsのfailedログも "ghs_" でgrep して要点検を。

CVE-2026-45793: GitHub Actions token disclosure in logs - What It Means for Your Business and How to Respond https://hubs.li/Q04hTpdH0

UnexpectedValueException in Composer exposed raw GITHUB_TOKEN to GitHub Actions logs. CVE-2026-45793 (GHSA-f9f8-rm49-7jv2), published May 13, 2026. CVSS 7.5 (High), CWE-200 sensitive info exposure. Vulnerable ranges: Composer >= 2.3.0 < 2.9.8; >= 2.0.0 < 2.2.28; >= 1.0 < 1.10.28. Patches: 2.9.8, 2.2.28, 1.10.28. Trigger: BaseIO::loadConfiguration() applies regex ^[.A-Za-z0-9_]+$, excluding hyphens. Modern GitHub tokens follow ghs_<id>_<base64url-JWT> and contain hyphens, so they fail the check. Composer then throws UnexpectedValueException with the raw token in the message. Symfony Console dumps that to stderr. GitHub's secret masker matches exact substrings. Console wrapping or ANSI escape codes split the token across the output, so masking misses it and the plaintext lands in the public job log. Common precondition: shivammathur/setup-php and similar actions auto-register GITHUB_TOKEN into Composer's global auth.json. Scope is bound to the calling repo. Expires after 6h on hosted runners, 24h on self-hosted. Reported by damienwebdev and kesselb. The validation meant to protect the token became the path that disclosed it.