Apache HttpComponents Client の脆弱性 CVE-2026-71290 が FIX：中間者攻撃の恐れ

Critical Apache HttpComponents Client Flaw Lets Attackers Impersonate Servers

2026/08/19 gbhackers — Apache HttpComponents Client に存在する深刻な脆弱性 CVE-2026-71290 により、非同期バージョンの HttpClient を使用しているアプリケーションにおいて、中間者攻撃を行う攻撃者が信頼済みサーバになりすます可能性がある。この脆弱性は、Apache HttpComponents Client のバージョン 5.4-alpha 〜 5.6.3 における不適切な TLS ホスト名検証に起因する。

Apache HttpComponents Client の脆弱性

この問題は、非同期 HttpClient を使用する環境で “HostnameVerificationPolicy#BUILTIN” を設定されたアプリケーションに影響を及ぼす。要求先のホスト名とサーバの証明書に記載されたホスト名が一致することを、クライアントが検証すると想定した開発者により、組み込みのホスト名検証ポリシーが有効化される場合がある。しかし、脆弱な非同期実装では、この設定が機能しないため、クライアントとサーバ間のトラフィックを傍受／変更できる攻撃者が、別のドメイン向けに発行された有効な TLS 証明書を提示する可能性がある。

脆弱なクライアントは、ホスト名の不一致を理由に接続を拒否せず、この証明書を受け入れる可能性があるため、攻撃者が正規の標的サーバになりすますことが可能になる。

CISA の Authorized Data Publisher 評価では、CVE-2026-71290 の深刻度は CVSS 9.1 と評価され、緊急に分類されている。ベクトルは “CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N” で、リモートから悪用可能で、攻撃の複雑さは低く、認証とユーザー操作は不要で、機密性と完全性への影響は大きいことを示している。この脆弱性は、不適切な証明書検証を指す CWE-295 に分類される。

また、悪用を成功させる攻撃者にとって必要なことは、侵害したネットワーク・デバイス／悪意のある Wi-Fi アクセス・ポイント／汚染された DNS 経路などにおいて、ネットワーク・トラフィックを傍受できる位置にいることである。

通信経路上に位置する攻撃者は、アプリケーションから送信される機密性の高いデータの読み取り／API レスポンスの変更／悪意のあるコンテンツの注入／認証情報の取得などを引き起こす可能性がある。特に、HTTPS 通信で非同期 HttpClient に依存する、同時実行性の高い API クライアント／クラウド・ワークロード／マイクロサービス／エンタープライズ統合では、注意が必要である。

Apache のアドバイザリでは、Apache HttpComponents Client バージョン 5.4-alpha 〜 5.6.3 が脆弱であるとされている。ただし、この問題は非同期バージョンの HttpClient に限定されるため、Apache HttpClient のクラシック版に影響は生じない。

ユーザー組織に求められるのは、Apache HttpComponents の依存関係が存在するという理由だけで影響を受けると判断せず、アプリケーションが影響を受けるホスト名検証ポリシーを使用して非同期クライアント実装を生成／使用しているかを確認することである。Apache が推奨するのは、影響を受ける環境を Apache HttpComponents Client バージョン 5.6.4 以降へアップグレードし、この問題に対処することである。

セキュリティ・チームに求められるのは、非同期クライアントを組み込んでいる、または呼び出している可能性があるライブラリ／フレームワークを含めて、直接依存関係と推移的依存関係を特定することである。アップデートが展開されるまで、組織にとって必要なことは、認証情報／金融データ／内部 API／管理者向け通信などを処理する、インターネット公開サービスおよびワークロードを優先して保護することである。また、チームは、TLS 傍受制御の確認／異常な証明書の挙動の監視／信頼できない中間者による通信経路への介入を防止する必要がある。

Apache HttpComponents Client の非同期通信において、TLS ホスト名検証が正常に機能しないという不具合が確認されました。通信経路上の第三者による送信データの不法解読 ／ API レスポンスの改ざん ／ 認証情報の不正取得といった重大な被害につながる恐れがあります。この脆弱性は CVE-2026-71290 として管理されています。影響を受ける環境の特定および Apache HttpComponents Client 5.6.4 以降への速やかなアップデートが求められます。