【2025年1月版】CakePHPのバージョンと脆弱性情報

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

この記事は、CakePHP（ケイクピーエイチピー）のバージョン情報とサポート期限についてまとめた記事で、2024年12月28日に執筆しています。

CakePHPはCake Software Foundation (CSF)とコミュニティによって開発・サポートが継続されている、オープンソースのPHPによるWebアプリケーションフレームワークです。

PHP自体も人気のプログラム言語ですが、CakePHPはそのフレームワークとして非常に高い評価を得ています（Web制作の現場にいる感覚としてもそうですが、2024年12月に行われたPeerSpotによるPHPフレームワークの市場動向調査でも評価2位となっています）。

フレームワークにも脆弱性が見つかります。
そのため、安全で円滑なWebサイトの運用のためには、CakePHPについても最新バージョンへのアップデートが欠かせません。

この記事では、企業のWeb担当者の皆様に向けて、CakePHPのバージョン情報とサポート期限についてまとめた上で、CakePHPの脆弱性についてもご紹介したいと思います。

少しでも皆様のお役に立てる記事にできればと思います。どうぞよろしくお願い致します。

CakePHP（ケイクピーエイチピー）のバージョンには、通常版とLTS版(Long Term Support)の2種類があります。

2024年12月28日現在、CakePHPの最新バージョンは5系統であり、公式がセキュリティサポートをしているバージョンは5系統と4系統のみです。

CakePHPのバージョンが3系統ないし4.0.9、4.1.3、4.2.11、4.3.10、4.4.9以下の場合には、既知の脆弱性が存在する可能性があります。

バグフィックスとは、セキュリティパッチの提供はもちろんのこと、軽微な不具合の修正も提供される期間です。
CakePHPのバグフィックスには、新機能の追加やAPIの大幅な変更は含まれません。

セキュリティフィックスとは、セキュリティパッチが提供される期間のことを指します。
バグフィックス期間が終了後、セキュリティフィックス期間終了までの間は、基本的に重大な脆弱性に関するパッチのみが提供されます。

CakePHP 1系統では、サポート期間とEOLポリシーは明確に定義されていませんでしたが、2015年11月1日に公式サポートは終了しています。

CakePHP 2系統については、バグフィックスがCakePHP 4.0.0のリリースから12ヵ月後（2020年12月15日）、セキュリティフィックスがCakePHP 4.0.0のリリースから18ヵ月後（2021年6月15日）とされ、既に公式サポートは終了しています。

CakePHP 3系統については、バグフィックスがCakePHP 4.0.0のリリースから24ヵ月後（2021年12月15日）、セキュリティフィックスがCakePHP 4.0.0のリリースから36ヵ月後（2022年12月15日）とされ、こちらも既に公式サポートは終了しています。

CakePHP 4系統からは、バグフィックスは次のメジャーリリースから24ヶ月間、セキュリティフィックスは36ヶ月間というルールになった模様です。

2024年12月28日現在における、CakePHP各バージョンのサポート期限、最新バージョンは次の通りです。

※グレーのバージョンはセキュリティサポートが終了しています。
※詳細については、CakePHP の GitHub Wiki及び公式サイトのリリースを参照してください。

CakePHP 2系統から5系統に関する脆弱性情報で、当社が把握しているものは次の通りです（1系統は割愛させていただきます）。

なお、CakePHPのアップデート管理は、マイナーバージョンごとに行われています（例えば、CakePHP 4.3系統、4.4系統、4.5系統はそれぞれアップデートバージョンがあがっていきます）。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています。
※深刻度については、共通脆弱性評価システムCVSS v3に基づいています。また、本記事では、CVSS v3にて緊急（9.0～10.0）、重要（7.0～8.9）、警告（4.0～6.9）に区分されるもののみを掲載しています。注意（0.1～3.9）の情報については、JVN iPediaなどでご確認ください。
※深刻度の数値はJapan Vulnerability Notes（本記事では「JVN」とします）及び、JVNが評価を合わせている米国国立標準技術研究所（NIST）が運営する脆弱性データベースであるNational Vulnerability Database（以下「NVD」）に準拠しています。ただし、NVDでスコアリングがされていない場合には、GitHub, Inc.などのスコアを記載しています。
※原則としてJVNのページを正としていますが、JVNに掲載されていない情報などについてはNVDのサイトを参照しています。
※CakePHP 3.10.3及び3.10.4ではフォームトークンの再利用脆弱性について修正されていますが、こちらとCVE-2022-30774との関連性については明確な情報が見つからなかったため、掲載していません。
※CVE-2019-11458の影響範囲については、CVEのサイトでは「CakePHP 3.7.6」とのみ記載されていますが、CakePHP公式サイトのリリースの記載からは、複数のマイナーバージョンに影響を与えていると読めることから、公式サイトの記載を正としています。
※CVE-2016-4793の影響範囲については、CVEのサイトでは「CakePHP 3.2.4 and earlier」とのみ記載されていますが、CakePHP公式サイトのリリース及びlegalhackers.comの該当情報の記載からは、複数のマイナーバージョンに影響を与えていると読めることから、公式サイトの記載を正としています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

CakePHPは、PHPで開発されているため、PHPの脆弱性にも影響を受けます。
そこで、CakePHPの各バージョンと対応するPHPバージョン、その脆弱性情報へのリンクを掲載しておきます。

※実際には、マイナーバージョンごとに対応するPHPのバージョンが変わります（例：PHP8.0はCakePHP 4.2以上から対応、PHP8.2はCakePHP 4.4以上から対応など）。
※グレーのバージョンはPHPのセキュリティサポートが終了しています。

CakePHPはPHPのフレームワークとして評価2位とされており、大手企業であってもCakePHPを利用しているケースが多いのが現状です。

しかしながら、自社内でバージョンアップを行うにも属人化が発生してリソースが足りなくなったり、管理するWebサイト・Webシステムの数が増え、あるいはWebサイト等の規模が大きくなるにつれて社内での対応が困難になることがあります。