A67/100
脆弱性 · 緊急 · CVSS 9.8
Apache Struts 2.5系の脆弱性7件の影響と対策を整理
ティアA · 今日中にパッチ – 帰る前に対応
影響を受ける人： EOLとなったApache Struts 2.5系を使用するシステム
ティアAの理由： 基幹インフラまたは人気ツール かつ 認証不要のリモート攻撃 かつ 完全な乗っ取り
影響範囲
攻撃
被害
修正
人気ツール · 認証不要のリモート攻撃 · 完全な乗っ取り · 修正なし
取るべき対応
- 自社プロジェクトやシステムでApache Struts 2.5系を使用していないか確認する
- 使用している場合は、記事で示された対策と移行の選択肢を確認する
要点
- Apache Struts 2.5系に影響する脆弱性7件を、Qiitaの記事が整理している
- 2.5系はEOL（提供終了）となっており、修正が提供されないことが最大の問題とされる
- 記事の抜粋では、10月に公表されたCVE-2026-104711が取り上げられている
なぜ重要か
2.5系を使い続けている開発者は、公式の修正を受けられないまま既知の脆弱性を抱え続けることになる。移行や緩和策を検討する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中5項目が「はい」
| はい | 開発者に影響 | Java開発で使われるWebフレームワークのため、開発チームや運用チームに影響する。 |
| いいえ | 基幹インフラ | 単一のWebフレームワークの脆弱性であり、ほぼすべてのチームが運用する基幹ソフトウェアではない。 |
| はい | 人気ツール | Java企業システムで広く使われるフレームワークであり、その脆弱性である。 |
| いいえ | 悪用確認済み | Qiita記事は実際の攻撃や悪用の観測について報じていない。 |
| いいえ | 公開エクスプロイト | Qiita記事は公開エクスプロイトや詳細な概念実証の存在に触れていない。 |
| はい | 認証不要のリモート攻撃 | CVSSCVE-2026-104711：CVSS 9.8（ネットワーク経由、特権不要、ユーザー操作不要） |
| はい | 完全な乗っ取り | CVSSCVE-2026-104711：CVSSは機密性と完全性への影響をともに「高」と評価 |
| いいえ | シークレットの流出 | Qiita記事は認証情報や顧客データの流出について報じていない。 |
| いいえ | サプライチェーン | Qiita記事は正規配布経路への悪意あるコード混入について報じていない。 |
| はい | 修正なし | Qiita記事は「EOL版に修正が来ない」ことが最大の問題だと報じている。 |
公式の記録
CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。
CVE-2026-104711 ↗CVSS 9.8 critical AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Apache Struts: OGNL injection in the legacy RESTful action mapper
- 悪用確認済み
- CISAの悪用カタログには未掲載
- EPSS
- 今後30日間に悪用される確率は1.7% · 全CVEの77%より高い
- 脆弱性の種類
- CWE-917
出典
【2026年版】Apache Struts脆弱性まとめ：CVE-2026-104711ほか全7件の影響と対策 ↗ Securityタグが付けられた新着記事 - Qiita · 35分前