概要
ConcreteCMS v9.4.7 には、ファイルマネージャコンポーネントにサービス拒否（DoS）脆弱性が存在します。’concrete/controllers/backend/file.php’ の ‘download’ メソッドは、zipアーカイブを作成する際にメモリを適切に管理していません。このメソッドは ‘ZipArchive::addFromString’ と ‘file_get_contents’ を組み合わせて使用しており、選択されたすべてのファイルの内容を PHP メモリに完全に読み込んでしまいます。認証された攻撃者は、大量のファイルの一括ダウンロードをリクエストすることでこの脆弱性を悪用でき、Out-Of-Memory（OOM）状態を引き起こします。その結果、PHP-FPM プロセスが終了（SIGSEGV）し、ウェブサーバが500エラーを返す原因となります。
技術情報
- 公開日: 2026-03-27T16:26:39+09:00
- 更新日: 2026-03-27T16:26:39+09:00
参考リンク
対処方法
該当ソフトウェアの最新版への更新、または開発元が提供する緩和策の適用を推奨します。運用環境に応じて事前検証の上で実施してください。
免責
本記事は公開情報をもとに自動集約された速報です。正確性・完全性は保証できません。必ず一次情報（上記リンク等）をご確認ください。
