CISA Adds Actively Exploited Apache Struts Command Injection Flaw to KEV Catalog
2026/10/12 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) は、Apache Struts に存在する深刻なコマンド・インジェクションの脆弱性 CVE-2016-3081 (CWE-77) が、実環境で悪用されたとする証拠を確認し、Known Exploited Vulnerabilities (KEV) カタログに追加した。この脆弱性は、Dynamic Method Invocation (DMI：動的メソッド呼び出し) が有効化されている Apache Struts 環境に影響を及ぼす。
Apache Struts のコマンド・インジェクションの脆弱性
この脆弱性を悪用するリモート攻撃者は、method: プレフィックスを用いる細工されたリクエストを悪用することで、任意のコード実行を引き起こす可能性がある。
悪用に成功した攻撃者は、影響を受ける Web アプリケーション・サーバを制御下に置き、Web シェルの設置／アプリケーションデータの窃取／横展開／永続的なアクセスの確立などを可能にする。
CVE レコードによると、影響を受ける Apache Struts のバージョンは以下のとおりである。
| 影響を受けるバージョン範囲 |
|---|
| Apache Struts 2.3.19 ～ 2.3.20.2 |
| Apache Struts 2.3.21 ～ 2.3.24.1 |
| Apache Struts 2.3.25 ～ 2.3.28 |
すでに Apache は、この脆弱性に関するセキュリティ対策のガイダンスを、アドバイザリ S2-032 として公開している。
CISA は、2026年10月8日に CVE-2016-3081 を KEV カタログへ追加し、対象となる米国連邦政府の文民行政機関 (FCEB 機関) に対して、2026年10月11日を対策期限として設定した。
KEV の登録情報では、リスクに基づいてセキュリティ・アップデートの優先順位を定める Binding Operational Directive (BOD) 26-04 に従い、ベンダーが提供する緩和策を実施することが求められている。また、この脆弱性は、フォレンジック・トリアージが必要な脆弱性としても分類されている。
インターネットに公開された Struts アプリケーションを保護する上で、フォレンジック・トリアージが求められることは重要である。パッチを適用すれば脆弱性は解消されるが、過去において、その脆弱性が悪用されていないことまでは確認できない。
そのため、セキュリティチームにとって必要なことは、Web サーバ／リバースプロキシ／アプリケーション／認証システム／エンドポイント／ネットワークに記録された過去のテレメトリを調査することである。
特に、侵害されたアプリケーション・サーバに関連する後続の活動の発生や、不審なリクエストなどについて確認することが重要となる。
管理者が最初に行うべきことは、レガシー・アプリケーションや外部のホスティング環境で稼働するアプリケーションを含め、すべての Apache Struts 環境を特定することである。その上で、DMI の有効化／無効化および、インストールされている Struts のバージョンが影響範囲に含まれているかどうかを確認すべきである。
ユーザー組織に求められるのは、ベンダーがサポートする脆弱性のない Struts バージョンへアップグレードすることである。直ちにアップグレードできない場合には、Apache が指定する緩和策を適用すべきである。
防御担当者には、以下の対応も推奨されている。
- アプリケーションがインターネットに公開されている状況を評価する。
- 管理インターフェイスへのアクセスを制限する。
- 影響を受けるサーバで使用されている認証情報をローテーションする。
- 予期しないプロセスの実行を調査する。
- 新たに登録されたスケジュール・タスクを確認する。
- 変更されたアプリケーション・ファイルを調査する。
- 見覚えのない外部への通信を確認する。
Apache Struts の脆弱性は、過去にも機会を狙った広範なスキャンや悪用の対象となってきた。そのため、インターネットに公開され、パッチが適用されていない Struts インスタンスを、インシデント対応の優先度が高い対象として扱う必要がある。
なお、CISA の KEV カタログには、CVE-2016-3081 に関連する既知のランサムウェアでの悪用は記載されておらず、その状況は不明となっている。
ただし、外部公開されたアプリケーションでリモートコード実行が可能になると、金銭目的の攻撃者を含む脅威アクターたちにより、システムへ侵入するための最初の足掛かりとして悪用される可能性がある。
この記事は、Web アプリケーションフレームワークである Apache Struts の脆弱性 (CVE-2016-3081) が CISA KEV カタログに追加されたことを知らせるものです。動的呼び出し機能の有効化に起因し、実環境での悪用事例が特定された背景があります。影響として、サーバの不当な占有／プログラムの不正実行／情報の持ち出しが生じる恐れがあります。対応策として、最新版への更新／緩和手順の実施／過去ログの解析を通じた不正アクセスの確認が求められます。
You must be logged in to post a comment.