Springアプリケーションフレームワーク、91件の脆弱性を修正

Broadcom傘下のSpringアプリケーション開発フレームワークの開発チームは先週、91件の脆弱性を修正するアップデートをリリースしたと発表しました。 

Springは、依存性注入やアスペクト指向プログラミング、Web・データ・メッセージングアーキテクチャ向けのモジュール型サポートといった機能を通じてエンタープライズアプリケーションの構築を簡素化する、Javaプラットフォーム向けのオープンソースアプリケーションフレームワークです。長年VMwareの管理下にありましたが、BroadcomによるVMware買収を経て、現在はBroadcomの傘下に移行しています。

今回の脆弱性のうち、深刻度が「緊急（Critical）」に分類されたのは1件のみで、CVE-2026-59270です。この脆弱性はSpring Securityに組み込まれたUnboundID LDAPサーバーに影響し、攻撃者がインメモリディレクトリに対して認証を突破し、エントリを改変できる可能性があります。 

深刻度「高（High）」に分類された脆弱性は10件以上あります。これらはXSS攻撃、情報漏えい、リモートコード実行、DoS攻撃、セキュリティ制御の回避、不正アクセスなどに悪用され得るものです。

残りの脆弱性は、深刻度「中」または「低」に分類されています。

セキュリティ企業のSonatypeはこれらのパッチを分析し、20万を超えるソフトウェアコンポーネントに影響が及ぶことを明らかにしました。今回の脆弱性は、Spring Security、Spring AI、Cloud Config、Data REST、Integration、Reactor Core、Reactor Netty、AMQP、Batchといったプロジェクトに影響しています。

Sonatypeは特に2件の脆弱性を取り上げています。1つはSpring for GraphQLにおける緊急のリモートコード実行問題であるCVE-2026-59285、もう1つはSpring AIのツール呼び出し機能に存在する中程度の深刻度の問題であるCVE-2026-59318で、後者はプロンプトインジェクションを通じて権限昇格を招く可能性があるとしています。 

今回のSpring関連脆弱性の急増は、当然のことながらBroadcomによるAI活用が背景にあります。

今年に入ってから現在までに200件を超える脆弱性が修正されており、2025年のわずか16件、2024年の22件と比べて大幅に増加しています。 

Spring関連の脆弱性は脅威アクターにとって有用な攻撃手段となり得るもので、悪名高いSpring4Shellを含め、実際に悪用された事例もあります。CISAのKEV（既知の悪用された脆弱性）カタログには現在、こうしたSpring関連の脆弱性が複数収録されています。 

オープンソースプロジェクトの関係者は、最新のSpringパッチを確認し、速やかに適用することが推奨されます。