CVE-2026-104712 Apache Struts 増幅攻撃脆弱性サービス停止リスク
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Apache Strutsのバグにより、特定のパラメータがBigDecimal型と連携する場合、リクエストに対して極めて大きな応答を生成する可能性があります。これにより、認証不要な攻撃者が低トラフィックでもサーバーのCPUやネットワーク容量を枯渇させる「増幅攻撃」が可能となり、サービス停止のリスクがあります。影響を受けるのはApache Struts 2.5.14～2.5.33、6.0.0～6.11.0、7.0.0～7.3.0のバージョンです。運用環境に該当するバージョンが使用されている場合、早急なパッチ適用またはバージョンアップ（6.12.0／7.4.0以上）が推奨されます。確認時には、BigDecimal型のプロパティがStrutsタグライブラリで出力される処理が存在するかを確認してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えよう。攻撃者が「極めて大きな応答」を生成できるという点に注目する。これは、技術的な不備だけでなく、設計の倫理にも問うべきではないか？
確かに、ソクラテス。しかし、現場の管理者として考えると、まず確認すべきは「我々の環境に該当するバージョンが使用されているか」ではないか？Apache Strutsのバージョンを確認し、2.5.14～2.5.33や6.0.0～6.11.0、7.0.0～7.3.0の範囲に該当するかをチェックする必要がある。
その確認は重要な前提だが、では「BigDecimal型のプロパティがStrutsタグライブラリで出力される処理」があるかの調査は、どの程度の手間を要するだろう？
それは、コードレビューや配置ファイルの検索で確認できる。例えば、“タグがBigDecimal型のフィールドにバインドされているかを確認する。簡単な作業だが、見逃すと重大なリスクになる。
では、パッチ適用の際、変更管理のプロセスをどう設計すべきか？
テスト環境でパッチ適用を検証し、本番への適用は段階的に行うべきだ。また、ベンダーの公式情報（Apacheの公式サイトやNVDのURL）を参照し、推奨されるバージョン（6.12.0以上や7.4.0以上）へのアップグレードを確実に実施する。
監視の観点では？
CPU使用率やネットワークトラフィックの異常を監視する仕組みを整える。例えば、PrometheusやZabbixで設定し、異常なリクエストパターンを検出できるようにする。
では、この脆弱性の「増幅攻撃」が実際に発生した際、我々のサーバーは「サービス停止」に至る可能性がある。だが、そのリスクを回避するには、この確認と対応が不可欠ではないか？
その通り。しかし、ユーモアを一つ。もしサーバーが「BigDecimalの呪い」に冒されたら、CPUが「お疲れ様」でダウンするだろう。我々は、その「呪い」を払うために、パッチと監視の二本柱をしっかり据えるべきだ。
関連キーワード: apache, bind