PHPの依存関係管理ツール「Composer」に3件の脆弱性が見つかり、最も深刻な問題では悪意あるパッケージによってプロジェクト外へ任意のファイルを書き込まれる可能性がある。CVE-2026-59948（CVSS 7.0）を含む問題はComposer 2.10.2および2.2.29で修正され、現時点で悪用は確認されていない。 CVE-2026-59948は依存関係の解決時にパッケージ名の検証が不十分だったため、信頼できないリポジトリの悪意あるパッケージがvendorディレクトリ外へ任意の内容を書き込み、シェル初期化ファイルやSSHのauthorized_keys、cron設定などを配置できる可能性がある。http://Packagist.orgとPrivate Packagistはパッケージ名を検証しているため影響を受けない。CVE-2026-59946（CVSS 6.1）はbinフィールドのパストラバーサルにより、Composerがパッケージ外の既存ファイルへchmodを実行し、秘密鍵などの権限を変更する恐れがある。CVE-2026-59947（CVSS 4.7）はデバッグログへURL内のユーザー名を出力するため、GitHubアクセストークンなどが漏えいする可能性がある。Composerチームはhttp://Packagist.org上で悪用例は確認しておらず、PoCも公開されていないとしている。 https://securityonline.info/php-composer-cve-2026-59948/
Post summary
Three Composer vulnerabilities (CVE‑2026‑59948, 59946, 59947) were disclosed, the most severe allowing arbitrary file writes; fixes are already released in Composer 2.10.2/2.2.29, with no evidence of exploitation or PoC.