Apache – IoT OT Security News

Apache Hadoop HDFS の脆弱性 CVE-2025-27821 が FIX：システムクラッシュ／データ破損の可能性

Apache Hadoop Vulnerability Exposes Systems Potential Crashes or Data Corruption

2026/01/26 CyberSecurityNews — Hadoop Distributed File System (HDFS) のネイティブ・クライアントにおいて、脆弱性 CVE-2025-27821 (Medium) が発見された。この脆弱性を悪用する攻撃者は、不正に細工した Uniform Resource Identifier (URI) 入力により、システム・クラッシュや重要データの破損を引き起こす可能性がある。この脆弱性は、Apache Hadoop バージョン 3.2.0 〜 3.4.1 に影響する。

Apache Airflow の脆弱性 CVE-2025-68675／68438 が FIX：機密情報漏洩の恐れ

Apache Airflow Vulnerabilities Enables Expose of Sensitive Data

2026/01/20 CyberSecurityNews — Apache Airflow バージョン 3.1.6 未満に存在する複数の脆弱性を悪用する攻撃者によリ、ログおよび UI を介して認証情報やシークレットなどの機密情報が露出する可能性がある。いずれの問題も、描画処理およびログ出力時における機密データのマスキングが不十分であることに起因している。それにより、本番環境においてプロキシ認証情報やデータベース・シークレットなどが漏洩するリスクが生じている。

Apache bRPC の脆弱性 CVE-2025-60021 が FIX：リモート・コマンド・インジェクションの可能性

Apache bRPC Vulnerability Enables Remote Command Injection

2026/01/20 CyberSecurityNews — Apache bRPC に発見されたのは、ビルトイン・ヒープ・プロファイラ・サービスに存在する深刻なリモート・コマンド・インジェクションの脆弱性 CVE-2025-60021 である。この脆弱性が影響を及ぼす範囲は、バージョン 1.11.0 〜 1.14.x となる。この脆弱性を悪用する未認証の攻撃者は、プロファイラのパラメータ検証メカニズムを操作することで、任意のシステム・コマンドを実行できる。ヒープ・プロファイラ・サービスのエンドポイント “/pprof/heap” は、system コマンド実行に渡す extra_options パラメータを適切にサニタイズしていない。

Adobe ColdFusion の深刻な脆弱性 CVE-2025-66516 が FIX：Apache Tika の XXE を修正

Adobe Patches Critical Apache Tika Bug in ColdFusion

2026/01/13 SecurityWeek — Adobe が発表したのは、2026年1月の月例パッチにおいて 11 製品を対象としたセキュリティ・アップデートのリリースと、合計 25 件に及ぶ脆弱性の修正である。その中で、最も深刻な脆弱性 CVE-2025-66516 (CVSS：10) は、Apache Tika モジュールにおける XML 外部エンティティ (XXE) インジェクションに起因するものだ。具体的には、PDF ドキュメント内に配置された XFA ファイルを介して悪用される可能性がある。

Apache Struts 2 の脆弱性 CVE-2025-68493 が FIX：機密データ窃取の可能性

Critical Apache Struts 2 Flaw Could Let Attackers Steal Sensitive Data

2026/01/12 gbhackers — Apache Struts 2 の XWork コンポーネントに、脆弱性 CVE-2025-68493 が発見された。この脆弱性は Important と評価されており、Struts 2.0.0 〜 2.3.37 (EOL)／2.5.0 〜 2.5.33 (EOL)／6.0.0 〜 6.1.0 までの広範なバージョンに影響を及ぼし、多くの Java Web アプリケーションに深刻なリスクをもたらす。この脆弱性が悪用されると、Java Web アプリケーションにおける機密データの漏洩／サービス拒否攻撃／サーバサイド・リクエスト・フォージェリ (SSRF) 攻撃につながる可能性がある。

Apache NuttX RTOS の脆弱性 CVE-2025-48769 が FIX：システム・クラッシュの恐れ

Apache NuttX Vulnerability Let Attackers to Crash Systems

2026/01/01 CyberSecurityNews — Apache NuttX RTOS で発見された、解放後メモリ使用 (use-after-free) の脆弱性を悪用する攻撃者は、意図しないファイルシステム操作やシステム・クラッシュを引き起こす可能性がある。2025年12月31日に公開された脆弱性 CVE-2025-48769 は、深刻度 Medium と評価されている。Apache NuttX の広範なバージョンが影響を受けるため、ネットワークに公開されたサービスを実行しているユーザーに対して、緊急のセキュリティ警告が発せられている。

Apache StreamPipes の脆弱性 CVE-2025-47411 が FIX：管理者権限が奪取される恐れ

Critical Apache StreamPipes Vulnerability Let Attackers Seize Admin Control

2025/12/31 CyberSecurityNews — Apache StreamPipes に発見された深刻な権限昇格の脆弱性 CVE-2025-47411 に対して、セキュリティ・パッチが提供された。この脆弱性の悪用に成功した権限のないユーザーが、データ・ストリーミング・プラットフォームでの管理者権限を奪取する恐れがある。この脆弱性は、ユーザー ID 作成メカニズムの欠陥に起因し、正当な非管理者アカウントの所有者が JWT トークン操作を悪用できる。そのため、脆弱性 CVE-2025-47411 の深刻度は Important と評価されている。この脆弱性が影響を及ぼす範囲は、バージョン 0.69.0〜0.97.0 である。

Apache Log4j Core の脆弱性 CVE-2025-68161 が FIX：TLS 検証の不備と中間者攻撃

Apache Log4j Vulnerability Allow Attackers to Intercept Sensitive Log Data

2025/12/19 CyberSecurityNews — Apache Logging Services が公表したのは、Log4j Core に存在する深刻なセキュリティ脆弱性 CVE-2025-68161 に関する情報である。この脆弱性の悪用により、アプリケーションのログデータが窃取／改竄される可能性があると指摘されている。この脆弱性は Log4j の Socket Appender コンポーネントに存在し、中間者攻撃の攻撃ベクターとなる恐れがある。その影響範囲は、バージョン 2.0-beta9 〜 2.25.2 までが対象となる。

Apache Commons Text の脆弱性 CVE-2025-46295 が FIX：FileMaker にも影響する深刻な RCE

Critical Apache Commons Text Flaw Lets Hackers Execute Remote Code

2025/12/18 gbhackers — Apache が公表したのは、Apache Commons Text に存在する深刻なリモート・コード実行の脆弱性に関する情報である。脆弱性 CVE-2025-46295 は、テキストの操作と処理に広く使用される Java ライブラリにおいて、テキスト文字列内の変数や式を置換するための機能に存在する。この Apache Commons Text の脆弱性が影響を及ぼす範囲はバージョン 1.10.0 以下であり、ユーザー組織に重大なセキュリティ・リスクをもたらす。

Atlassian の 2025/12 アップデート：Apache Tika の脆弱性 CVE-2025-66516 などが FIX

Atlassian fixed maximum severity flaw CVE-2025-66516 in Apache Tika

2025/12/15 SecurityAffairs — Atlassian が発表したのは、自社製品に影響を与える数十件の脆弱性への対処が完了したという声明である。これらの脆弱性には、複数の深刻度レベルの問題が含まれている。最も深刻な脆弱性の１つは、Apache Tika に存在する XML 外部エンティティ (XXE) インジェクション脆弱性 CVE-2025-66516 であり、CVSS スコアは 10.0 と評価されている。この脆弱性 CVE-2025-66516 を悪用する攻撃者は、Apache Tika の core module／PDF module／parser module に対して、XXE インジェクションを仕掛けることが可能になる。攻撃者は、PDF 内に悪意のある XFA ファイルを埋め込み、Tika に外部 XML エンティティを処理させ、機密性の高い内部リソースへのアクセス経路を開かせる可能性がある。

Apache StreamPark の脆弱性 CVE-2025-54947 が FIX：機密データ復号と権限昇格の恐れ

Apache StreamPark Vulnerability Let Attackers Access Sensitive Data

2025/12/15 CyberSecurityNews — Apache StreamPark に発見された、深刻なセキュリティ脆弱性 CVE-2025-54947 を悪用する攻撃者は、機密情報を復号してシステム・アクセスを不正に取得する可能性がある。この脆弱性は、アプリケーション内でハードコードされた暗号化キーが使用される点に起因している。したがって、リバース・エンジニアリングやコード解析を行う攻撃者が、セキュリティ制御を回避する状況を招く。

Apache Tika Core の脆弱性 CVE-2025-66516 が FIX：悪意の PDF を介した情報漏洩

Apache Tika Core Flaw Allows Attackers to Exploit Systems with Malicious PDF Uploads

2025/12/05 gbhackers — Apache メンテナーが公表したのは、Apache Tika に存在する深刻な脆弱性に関するセキュリティ・アドバイザリである。この脆弱性を悪用する攻撃者は、悪意の PDF ファイルをアップロードするだけで情報漏洩を引き起こす可能性がある。なお、この脆弱性 CVE-2025-66516 が影響を及ぼす範囲は、Apache Tika コア／Apache Tika パーサ／Apache Tika PDF パーサ・モジュールとなる。

Apache Struts の脆弱性 CVE-2025-64775 が FIX：ディスク枯渇による DoS 攻撃の恐れ

Apache Struts Flaw Allows Attackers to Launch Disk Exhaustion Attacks

2025/12/02 gbhackers — Apache Struts に発見されたセキュリティ脆弱性 CVE-2025-64775 を悪用する攻撃者は、サーバのディスク容量を圧迫して正常な動作を妨げる可能性がある。Apache Struts は人気のオープンソース Web アプリケーション・フレームワークであり、世界中の多くの企業で使用されているため、この脆弱性の影響の大きさが懸念されている。

Apache bRPC の脆弱性 CVE-2025-59789 が FIX：JSON データの悪用によるサーバ・クラッシュ

Critical Apache bRPC Flaw Allows Attackers to Crash Servers

2025/12/01 gbhackers — Apache bRPC に存在する深刻なセキュリティ脆弱性を悪用する攻撃者は、細工した JSON データを送信するだけでサーバをクラッシュさせる可能性がある。この脆弱性 CVE-2025-59789 が影響を及ぼす範囲は、Apache bRPC のバージョン 1.15.0 未満であり、信頼できないネットワークに公開されているシステムに、重大なリスクをもたらすものである。

Apache Syncope の脆弱性 CVE-2025-65998 が FIX：ハードコード・キーとパスワード複合

Apache Syncope Flaw Lets Attackers Access Internal Database Content

2024/11/25 gbhackers — Apache Syncope にセキュリティ脆弱性 CVE-2025-65998 が発見された。この脆弱性を悪用する攻撃者が、内部データベースへのアクセスに成功すると、保存されているパスワードが復号化される可能性がある。この脆弱性は、ハードコードされたデフォルトの AES 暗号化キーの使用に起因している。つまり、機密性の高いユーザー認証情報を安全に保つために設計された、パスワード保護メカニズムに問題が生じている。

Apache OpenOffice の複数の脆弱性が FIX：不正なドキュメント読み込みやメモリ破損に対処

Multiple Apache OpenOffice Vulnerabilities Leads to Memory Corruption and Unauthorized Content Loading

2025/11/12 CyberSecurityNews — Apache OpenOffice がリリースしたバージョン 4.1.16 では、不正なリモート・ドキュメント読み込みやメモリ破損攻撃を可能にする７件の深刻なセキュリティ脆弱性が修正されている。これらの脆弱性は、人気の高いオープンソース Office Suite のユーザーにとって深刻なセキュリティ・リスクとなるものだ。最も深刻な脆弱性は、ユーザーへの確認や警告なしに不正なリモート・コンテンツを読み込む点にある。これらの脆弱性を悪用する攻撃者は、複数の攻撃経路を通じて悪意の外部ドキュメントを読み込む可能性を得る。

Akira ランサムウェアによる Apache OpenOffice 侵害：23GB の機密データ流出の主張とは？

Akira Ransomware Allegedly Claims Theft of 23GB in Apache OpenOffice Breach

2025/11/01 CyberSecurityNews — Akira ランサムウェア・グループが発表したのは、2025年10月29日に Apache OpenOffice のシステムへの侵入に成功し、23GB の機密性の高い企業データを盗み出したという主張である。強硬な二重恐喝戦術で知られる同グループは、ダークウェブ上のリークサイトに詳細を掲載し、身代金が支払われない限り情報を公開すると脅迫している。このインシデントが浮き彫りにするのは、高度なサイバー脅威が蔓延する時代においては、非営利ソフトウェア財団でさえ深刻なリスクに直面するという現実である。

Apache Tomcat CVE-2025-55752／55754 脆弱性が FIX：リモート・コード実行やログ操作の可能性

Apache Tomcat Flaws Allow Remote Code Execution on Vulnerable Servers

2025/10/28 gbhackers — Apache Software Foundation が公開したのは、Apache Tomcat の複数バージョンに影響を及ぼす２件のセキュリティ脆弱性 CVE-2025-55752／CVE-2025-55754 に関する情報である。これらの脆弱性が影響を及ぼす範囲は、Apache Tomcat バージョン 9／10／11 であり、管理者たちが受け取っているのは、インストール済みシステムへの迅速なアップグレードを促す警告である。

Apache Syncope の脆弱性 CVE-2025-57738 が FIX：管理者権限で任意コード実行が可能

Apache Syncope Groovy Flaw Allows Remote Code Injection

2025/10/21 gbhackers — Apache Syncope が公開したのは、認証済み管理者にシステム上での任意のコード実行を許す深刻なセキュリティ脆弱性の情報である。この脆弱性 CVE-2025-57738 が影響を及ぼす範囲は、Apache Syncope のバージョン 3.0.14 未満／4.0.2 未満であり、悪意の Groovy コードの注入によるシステム侵害の危険性がある。

Apache ActiveMQ の脆弱性 CVE-2025-54539 が FIX：任意のコード実行の恐れ

Critical Apache ActiveMQ Vulnerability Let Attackers Execute Arbitrary Code

2025/10/16 CyberSecurityNews — Apache Software Foundation が公表したのは、ActiveMQ NMS AMQP クライアントに存在する深刻な脆弱性に関する情報である。この脆弱性 CVE-2025-54539 を悪用する攻撃者は、脆弱なシステム上で任意のコードを実行し得るという。この安全ではないデシリアライズの脆弱性は、ActiveMQ クライアントを用いて AMQP プロトコルを処理するアプリケーションに対して、深刻なリスクをもたらすものだ。

Apache Airflow の脆弱性 CVE-2025-54831 が FIX：読み取り専用ユーザーによる機密情報の漏洩

Apache Airflow Vulnerability Lets Read-Only Users Access Sensitive Data

2025/09/26 gbhackers — Apache のメンテナーが公開したのは、Airflow 3.0.3 に存在する深刻なセキュリティ脆弱性 CVE-2025-54831 に関する情報である。この脆弱性を悪用する攻撃者は、読み取り権限だけを持つ場合であっても、Airflow API および Web インターフェイスを通じて、機密性の高い接続情報を閲覧できるという。それにより、Connections 内のシークレットの閲覧が、編集権限を保持するユーザーだけに限定されるという設計が損なわれ、認証情報などの機密データが漏洩する可能性がある。この Apache Airflow は、OSS のワークフロー・オーケストレーション・プラットフォームであり、データ・パイプラインのスケジュール設定と監視に広く利用されている。

Apache Jackrabbit の脆弱性 CVE-2025-58782：未認証攻撃者による任意コード実行の恐れ

Apache Jackrabbit Exposes Systems To Arbitrary Code Execution Attacks

2025/09/08 CyberSecurityNews — エンタープライズ CMS や Web アプリで広く利用される、OSS コンテンツ・リポジトリ Apache Jackrabbit に、深刻なセキュリティ脆弱性 CVE-2025-58782 が発見された。この脆弱性を悪用する未認証の攻撃者は、脆弱なサーバ上で任意コード実行 (RCE) を引き起こす可能性があり、システム・セキュリティおよびデータ機密性に深刻なリスクが生じている。

Apache DolphinScheduler の脆弱性 CVE-2024-43166 が FIX：情報漏洩のリスクに対応

Apache DolphinScheduler Vulnerability Patched — Update Immediately

2025/09/03 gbhackers — Apache DolphinScheduler における軽微なセキュリティ問題が、最新のリリースにより修正された。この脆弱性 CVE-2024-43166 は、CWE-276 (不適切なデフォルト権限) に分類されており、バージョン 3.2.2 未満に影響を及ぼす。ユーザーに対して強く推奨されるのは、速やかにバージョン 3.3.1 へとアップグレードすることである。この問題には CVE-2024-43166 の識別子が割り当てられ、2025年9月3日 (水) の時点でメンテナーの Lidong Dai により、プロジェクトのセキュリティ・メーリングリストで開示された。

Apache ActiveMQ の CVE-2023-46604 が標的のキャンペーン：SSH 改変による永続的バックドアの確立

Hackers Exploiting Apache ActiveMQ Vulnerability to Gain Access to Cloud Linux Systems

2025/08/20 CyberSecurityNews — Apache ActiveMQ の深刻なリモート・コード実行の脆弱性 CVE-2023-46604 を悪用し、クラウド・ベースの Linux システムを侵害する、巧妙なキャンペーンの存在が明らかになった。このケースにおける攻撃者は、悪用後の脆弱性にパッチを適用することで、排他的アクセスの維持と検出の回避を図っており、国家レベル攻撃者だけが実施するとされる、高度な運用セキュリティ対策を施している。

Tomcat の脆弱性 “Made You Reset” CVE-2025-48989 が FIX：壊滅的なサービス拒否の可能性

Apache Tomcat Vulnerabilities Let Attackers Trigger Dos Attack

2025/08/14 CyberSecurityNews — Apache Tomcat の HTTP/2 実装に、深刻なセキュリティ脆弱性が発見された。この脆弱性を悪用する攻撃者は、標的とする Web サーバに対して、壊滅的なサービス拒否 (DoS) 攻撃を仕掛けることが可能だ。Made You Reset と呼ばれる攻撃を引き起こす、この脆弱性 CVE-2025-48989 は、広く使用される Java サーブレット・コンテナの複数のバージョンに影響を及ぼし、世界中の Web アプリケーションに深刻なリスクをもたらすものだ。

Apache bRPC の脆弱性 CVE-2025-54472 が FIX：メモリ割り当の不備とサービス・クラッシュの可能性

Apache bRPC Vulnerability Lets Attackers Crash Services Remotely via Network

2025/08/12 gbhackers — Apache bRPC に、深刻なセキュリティ脆弱性が発見された。この脆弱性 CVE-2025-54472 は、Redis プロトコル・パーサー・コンポーネントにおけるメモリ割り当て処理の不備に起因し、影響が及ぶ範囲は Apache bRPC のバージョン 1.14.1 未満となる。それを悪用する攻撃者は、ネットワーク・ベースのサービス拒否を通じて、リモートからのサービス・クラッシュ攻撃の可能性を手にする。

Apache Jena の脆弱性 CVE-2025-49656／50151 が FIX：パス・トラバーサルによる不正操作の可能性

Apache Jena Vulnerability Leads to Arbitrary File Access or Manipulation

2025/07/22 CyberSecurityNews — Apache Jena が公表したのは、バージョン5.4.0 以下に存在する、２つの重大なセキュリティ脆弱性に関する情報である。これらの脆弱性 CVE-2025-49656／CVE-2025-50151 (深刻度：Important) は、すでにバージョン 5.5.0 で修正されている。その悪用に成功した攻撃者は、管理者のアクセス権限を介して、標的サーバのファイル・システムの整合性を侵害する可能性を得るという。

Apache Tomcat Coyote の脆弱性 CVE-2025-53506 が FIX：サービス拒否 (DoS) 攻撃の恐れ

Apache Tomcat Coyote Flaw Allows Attackers to Launch DoS Attacks

2025/07/15 gbhackers — Apache Software Foundation が公表したのは、Tomcat Coyote モジュールの Maven アーティファクト org.apache.tomcat:tomcat-coyote に存在する、深刻な脆弱性 CVE-2025-53506 に関する情報である。この脆弱性を悪用する攻撃者は、ストリームのコンカレント制限を操作し、サーバ・リソースを圧倒することで、サービス拒否 (DoS) 攻撃を仕掛ける可能性を手にする。この脆弱性は、HTTP/2 プロトコル処理における、制御不能なリソース消費に起因する。

Apache HTTP Server 2.4.64 がリリース：８件の脆弱性を修正する重要アップデート

Apache HTTP Server 2.4.64 Released With Patch for 8 Vulnerabilities

2025/07/11 CyberSecurityNews — Apache Software Foundation が公表したのは、Apache HTTP Server バージョン 2.4.64 のリリースにより、バージョン 2.4.0〜2.4.63 に存在する８件の深刻なセキュリティ脆弱性を修正したことだ。今回のアップデートにより解消されたものには、HTTP レスポンス・スプリッティング／サーバ・サイド・リクエスト・フォージェリ (SSRF)／サービス拒否 (DoS) などの複数の脆弱性があり、サーバのセキュリティ／パフォーマンスに対する潜在的リスクが軽減された。

Apache Tomcat の脆弱性 CVE-2025-52434／52520／53506 が FIX：リモート DoS 攻撃の恐れ

Multiple Apache Tomcat Vulnerabilities Let Attackers Trigger DoS Attacks

2025/07/09 CyberSecurityNews — Apache が発表したのは、Tomcat の３件の深刻なサービス拒否 (DoS) 脆弱性への対応であり、それを放置すると、攻撃者による Web アプリケーションおよびサービスの妨害にいたる可能性のあると警告している。これらの脆弱性 CVE-2025-52434／CVE-2025-52520／CVE-2025-53506 が影響を及ぼす範囲は、Apache Tomcat のバージョン 9.0.0.M1〜9.0.106 となる。HTTP/2 プロトコル／ファイル・アップロード・メカニズム／ストリーム処理機能など、さまざまな攻撃ベクターを通じて、これらの脆弱性が悪用される可能性があるという。

Apache APISIX の脆弱性 CVE-2025-46647 が FIX：ミスコンフィグから生じる不正アクセス

Apache APISIX Vulnerability Enables Cross-Issuer Access Under Misconfigurations

2025/07/04 gbhackers — 広く利用されているオープンソース API ゲートウェイ Apache APISIX の openid-connect プラグインに、新たな脆弱性 CVE-2025-46647 が発見された。この脆弱性は重要度が高く、特定のミスコンフィグが生じている状況において、異なる ID 発行者の間をまたぐかたちで、攻撃者に対して不正アクセスを許す可能性がある。

Apache Tomcat／Camel の脆弱性 CVE-2025-24813／27636／29891：積極的な悪用を観測

Apache Tomcat and Camel Vulnerabilities Actively Exploited in The Wild

2025/07/03 CyberSecurityNews — Apache Tomcat／Apache Camel に存在する深刻な脆弱性が、世界中のサイバー犯罪者たちにより積極的に悪用されているという。2025年3月に情報が公開された以降において、それらの脆弱性への攻撃は、70カ国以上で 125,000件を超えるレベルにあると、セキュリティ研究者たちは報告している。

Apache Seata の脆弱性 CVE-2025-32897 が FIX：信頼されないデータのデシリアライズの問題

Apache Seata Flaw Enables Deserialization of Untrusted Data

2025/07/03 gbhackers — 広く普及している OSS 分散トランザクション・ソリューション Apache Seata に、新たな脆弱性 CVE-2025-32897 が発見され、影響を受けるバージョンを使用する組織において、セキュリティ上の懸念が生じている。この脆弱性により、Apache Seata サーバ内で、信頼されないデータのデシリアライズが許可されることで、リモート・コード実行などのセキュリティ・リスクに、システムが直面する可能性が生じる。

Apache Traffic Server の脆弱性 CVE-2025-49763／31698 がFIX：ESI Plugin と ACL の問題

Apache Traffic Server Vulnerability Allows DoS Attacks Through Memory Exhaustion

2025/06/19 gbhackers — Apache Traffic Server (ATS) に発見された脆弱性が、エンタープライズ・ユーザーやクラウド・プロバイダーの間で、深刻な懸念を引き起こしている。Edge Side Include (ESI) プラグインの欠陥を悪用する攻撃者は、サーバのメモリ枯渇を引き起こすことでサービス拒否 (DoS) 攻撃を仕掛けることが可能となる。この脆弱性 CVE-2025-49763 は、ATS の複数バージョンに影響を及ぼすものであるため、Apache Software Foundation は緊急の緩和策ガイダンスを発表した。

Apache Tomcat の複数の脆弱性が FIX：サービス拒否と認証バイパスの恐れ

Apache Tomcat Vulnerabilities Allow Authentication Bypass and DoS Attacks

2025/06/17 CyberSecurityNews — Apache が公表したのは、Tomcat Web サーバに存在する複数の深刻なセキュリティ脆弱性に関する情報である。これらの脆弱性の内訳は、サービス拒否 (DoS) 攻撃を可能にする深刻度の高い脆弱性が２件と、認証バイパスを可能にする深刻度が中程度の脆弱性が１件である。脆弱性 CVE-2025-48976／CVE-2025-48988／CVE-2025-49124／CVE-2025-49125 が影響を及ぼす範囲は、Tomcat のバージョン 9.0.x 〜 11.0.x シリーズであり、それらを利用する、世界中の数百万の Web アプリケーションに影響が生じている。

Apache Tomcat Manager を標的とするブルートフォース攻撃を検出：約 400 の悪意の IP アドレスが関与

Brute-force attacks target Apache Tomcat management panels

2025/06/11 BleepingComputer — オンラインで公開されている Apache Tomcat Managerインターフェイスを標的として、数百の固有 IP アドレスを用いる組織的なブルートフォース攻撃キャンペーンが検出された。Tomcat は人気のオープンソース Web サーバであり、エンタープライズや SaaS プロバイダーで広く使用されている。その一方で、Tomcat Manager は、Tomcat サーバにバンドルされる Web ベースの管理ツールであり、GUI を介した Web アプリ管理を、Admin たちに提供するものだ。

Apache CloudStack の脆弱性 CVE-2025-26521／47713 などが FIX：特権アクション実行とパスワード・リセット

Apache CloudStack Flaw Allows Attackers to Execute Privileged Actions

2025/06/11 gbhackers — OSS のクラウド管理プラットフォームとして業界をリードする Apache CloudStack が発表したのは、複数の深刻なセキュリティ脆弱性に対処する、新たな Long-Term Support (LTS) リリースのバージョン 4.19.3.0／4.20.1.0 の緊急リリースである。2025年6月10日に、Apache PMC (Project Management Committee) メンバーである Pearl Dsilva が公開したアドバイザリでは、５つの脆弱性が指摘されており、そのうち２つは Crutical と評価され、ユーザー・データとインフラストラクチャの整合性に重大なリスクをもたらすという。

Apache Tomcat の DoS 脆弱性 CVE-2025-31650：12件の PoC エクスプロイトが公開

PoC Exploit Released for Apache Tomcat DoS Vulnerability

2025/06/06 gbhackers — Apache Tomcat の深刻なメモリ・リークの脆弱性 CVE-2025-31650 が悪用され、未認証の攻撃者たちがサービス拒否攻撃の機会を手にしている。この脆弱性は、HTTP/2 実装における不正な優先度ヘッダーに起因するものであり、すでに 12件のエクスプロイトが公開されている。この脆弱性の影響が及ぶ範囲は、Tomcat のバージョン 9.0.76～9.0.102／10.1.10～10.1.39／11.0.0-M2～11.0.5 である。

Tomcat CGI Servlet の脆弱性 CVE-2025-46701 が FIX：大文字／小文字の区別の不適切な処理

Apache Tomcat CGI Servlet Flaw Enables Security Constraint Bypass

2025/05/30 gbhackers — Apache Tomcat の CGI サーブレットで発見された脆弱性 CVE-2025-46701 により、特定の条件下におけるセキュリティ制約の回避の可能性が生じている。2025年5 月29日に発表された、この脆弱性は、CGI サーブレットにマッピングされた URL の pathInfo コンポーネントにおける、大文字／小文字の区別の不適切な処理に起因する。

Apache Tomcat の RCE 脆弱性 CVE-2025-24813 が FIX：悪意のスキャンと PoC の登場

Apache Tomcat RCE Vulnerability Exposed with PoC Released

2025/05/26 gbhackers — 広く使用されているオープンソースの Java Servlet Container／Web Server である Apache Tomcat に、深刻な脆弱性 CVE-2025-24813 が発見された。この脆弱性は、内部にドットを含むファイルパス (例：file.Name) の不適切な処理に起因する。この脆弱性を悪用する攻撃者は、セキュリティ制御を回避し、リモート・コード実行 (RCE)／情報漏洩／悪意のコンテンツの挿入を引き起こす機会を得るという。

Apache ActiveMQ の脆弱性 CVE-2025-27533 が FIX：メモリ割り当ての問題と DoS 攻撃

CVE-2025-27533: Apache ActiveMQ Memory Allocation Bug Could Lead to Denial of Service

2025/05/08 SecurityOnline — 複数のプロトコルとクロス・プラットフォーム統合を強力にサポートする、OSS のメッセージ・ブローカー Apache ActiveMQ に、深刻なメモリ割り当ての脆弱性 CVE-2025-27533 が発見され、サービス拒否 (DoS) 攻撃が引き起こされる可能性が生じている。

Apache Parquet Java の脆弱性 CVE-2025-46762 が FIX：メタデータに埋め込まれた悪意のコードの自動実行

Apache Parquet Java Vulnerability Enables Remote Code Execution

2025/05/05 gbhackers — Apache Parquet Java に、深刻度の高い脆弱性 CVE-2025-46762 が発見された。この脆弱性により、parquet-avro モジュールを使用するシステムに、リモート・コード実行 (RCE) 攻撃の可能性が生じている。この脆弱性は、Apache Parquet のバージョン 1.15.1 以下に影響を及ぼすものであり、2025年5月2日に、コントリビューターである Gang Wu により公開された。

SonicWall の脆弱性 CVE-2023-44221／CVE-2024-38475：任意のコード実行を実証する PoC が登場

SonicWall Exploit Chain Exposes Admin Hijack Risk via CVE-2023-44221 and CVE-2024-38475

2025/05/05 SecurityOnline — SonicWall の Secure Mobile Access (SMA) アプライアンスを標的とする、新たな PoC エクスプロイト・チェーンが公開された。この、watchTowr Labs が公開した技術情報は、脆弱性 CVE-2023-44221／CVE-2024-38475 を組み合わせることで、未認証のリモート攻撃者が管理者セッションを乗っ取り、任意のコード実行を達成する仕組みが解説されている。

CISA KEV 警告 25/05/01：SonicWall CVE-2023-44221／Apache HTTP Server CVE-2024-38475 を登録

U.S. CISA adds SonicWall SMA100 and Apache HTTP Server flaws to its Known Exploited Vulnerabilities catalog

2025/05/02 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、SonicWall SMA100／Apache HTTP Server の脆弱性を、Known Exploited Vulnerabilities (KEV) カタログに登録した。これらの脆弱性の概要は、以下の通りである：

Apache ActiveMQ の脆弱性 CVE-2025-29953 が FIX：デシリアライズ・エラーによる RCE

Apache ActiveMQ Vulnerability Lets Remote Hackers Execute Arbitrary Code

2025/05/01 gbhackers — Apache ActiveMQ の .NET Message Service (NMS) ライブラリに、深刻な脆弱性 CVE-2025-29953 (CVSS：8.1) が発見された。この脆弱性の悪用に成功したリモートの攻撃者は、パッチ未適用のシステム上で任意のコード実行の可能性を手にする。この脆弱性が影響を及ぼす範囲は、最新のセキュリティ更新プログラムが適用される以前の、すべての ActiveMQ バージョンとなる。

Apache Tomcat の脆弱性 CVE-2025-31650／31651 が FIX：DoS とルール・バイパスの恐れ

Apache Tomcat Security Update Fixes DoS and Rewrite Rule Bypass Flaws

2025/04/29 SecurityOnline — Apache Software Foundation が発表したのは、広く使用されている OSS Java サーブレット・コンテナである Apache Tomcat の、複数のバージョンに影響を与える２つの脆弱性に対処する重要なアップデートのリリースである。これらの脆弱性 CVE-2025-31650／CVE-2025-31651 に対して、パッチを適用せずに放置すると、サービス拒否状態やセキュリティ・ルールのバイパスにつながる可能性がある。

Apache SeaTunnel の脆弱性 CVE-2025-32896 が FIX：File Read & RCE の可能性

CVE-2025-32896: Apache SeaTunnel Flaw Enables Unauthenticated File Read & RCE

2025/04/13 SecurityOnline — 分散データ統合プラットフォームとして広く利用される Apache SeaTunnel に、新たな脆弱性 CVE-2025-32896 が発見された。この脆弱性を悪用する未認証の攻撃者により、任意のファイル読取りなどの、デシリアライゼーション・ベースの攻撃が実行される可能性が生じている。

Apache Traffic Server の脆弱性 CVE-2024-53868 が FIX：リクエスト・スマグリング攻撃の恐れ

Apache Traffic Server Hit by Request Smuggling Vulnerability (CVE-2024-53868)

2025/04/04 securityonline — 広く採用されている高性能 HTTP プロキシサーバ Apache Traffic Server (ATS) だが、リクエスト・スマグリング攻撃に対して脆弱であることが判明した。その原因である脆弱性 CVE-2024-53868 は、チャンク化されたメッセージを ATS が処理する方法に起因し、HTTP リクエスト処理に対する攻撃者の干渉を許すものだという。

Apache Tomcat の脆弱性 CVE-2025-24813 への攻撃：ハッカーたちの高度な戦術を解明する

Hackers Exploit Apache Tomcat Flaw to Hijack Servers and Steal SSH Credentials

2025/04/03 gbhackers — 新たに発見された攻撃キャンmasuペーンにより露呈した、Apache Tomcat サーバの脆弱性 CVE-2025-24813 を悪用するハッカーたちは、リソースの乗っ取りと SSH 認証情報の窃取を可能にしている。この問題の発見から 30 時間以内にボットネットを武器化した一連の攻撃は、暗号化されたペイロードと高度な永続化メカニズムを用いるものであり、Windows／Linux プラットフォームで稼働するシステムに侵入したことを、Aqua Nautilus の研究者たちが明らかにした。

Apache Parquet Java の脆弱性 CVE-2025-30065 (CVSS 10) が FIX：任意のコード実行の恐れ

CVE-2025-30065 (CVSS 10): Critical Vulnerability Discovered in Apache Parquet Java

2025/04/02 SecurityOnline — 広く使用されている OSS のカラム指向データファイル形式である Apache Parquet に、深刻なセキュリティ脆弱性が存在することが判明した。この脆弱性は、Apache Parquet Java ライブラリを使用するシステムに対して、深刻なリスクをもたらす。