JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024045 TwigはPHPのテンプレート言語です。バージョン3.15.0から3.26.0までの間、_self.(＜string＞)およびimport-aliasの動的属性構文において、識別子の検証を行わずに攻撃者が制御する文字列をMacroReferenceExpression名に連結できたため、生成されたテンプレートソースに生のPHPコードが出力され、テンプレート読み込み時に実行される可能性がありました。この問題はバージョン3.26.0で修正されています。 cpe:/a:symfony:twig https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024045.html Common Vulnerabilities and Exposures (CVE) CVE-2026-46640 https://www.cve.org/CVERecord?id=CVE-2026-46640 National Vulnerability Database (NVD) CVE-2026-46640 https://nvd.nist.gov/vuln/detail/CVE-2026-46640 GitHub Arbitrary PHP code execution via `_self.(<string>)` macro-reference compilation Advisory twigphp/Twig GitHub https://github.com/twigphp/Twig/security/advisories/GHSA-45vw-wh46-2vx8 JVNDB CWE-94 https://jvndb.jvn.jp/ja/cwe/CWE-94.html 関連文書 Release v3.26.0 twigphp/Twig GitHub https://github.com/twigphp/Twig/releases/tag/v3.26.0 関連文書 Fix sandbox bypass: PHP code injection via _self / import macro refer… twigphp/Twig@324fa60 GitHub https://github.com/twigphp/Twig/commit/324fa60545694fa6abe85ded9befcb82e1066bc2 2026-07-17T11:16:40+09:00 2026-07-17T11:16:40+09:00