米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、10年前に公開されたApache Structsのリモートコード実行の脆弱性「CVE-2016-3081」について、実際に悪用されている証拠が確認されたとして、「既知の悪用された脆弱性（KEV）カタログ」に追加しました。
この脆弱性は、動的メソッド呼び出し（Dynamic Method Invocation）を有効にしているApache Struts環境に影響します。リモートの攻撃者が method: プレフィックスを介して、任意のコードを実行できるおそれがあります。
CVE-2016-3081として管理されているこの脆弱性は、CWE-77（コマンドで使用される特殊要素の不適切な無害化）に分類されます。
具体的には、脆弱なWebアプリケーションが攻撃者の制御する入力を処理する際、基盤となるサーバー上でコマンドや式が実行されてしまう可能性があります。これにより、認証されていない攻撃者が、公開されたアプリケーションサーバーを乗っ取る足がかりを得られる恐れがあります。
影響を受けるバージョンは、Apache Struts 2.3.19～2.3.20.2、2.3.21～2.3.24.1、2.3.25～2.3.28です。この問題は2016年に初めて公開されたもので、Apache Strutsのセキュリティ勧告「S2-032」として知られています。
今回のKEVカタログへの追加は、古くサポートが終了した、あるいは保守が不十分なインターネットに公開されたアプリケーションが、依然として攻撃者にとって価値の高い標的であることを示しています。
CISAは2026年10月8日にこの脆弱性をカタログへ追加し、対象となる連邦文民行政機関に対して、10月11日を是正期限として設定しました。
CISAは各組織に対し、ベンダーの指示に従って緩和策を適用するとともに、リスクに基づいてセキュリティ更新の優先順位を定める拘束的運用指令（BOD）26-04に従うよう求めています。また、この指令に基づき、本脆弱性にはフォレンジック・トリアージが必要であると明記しました。
フォレンジック・トリアージが求められているのは、パッチを適用するだけでは、すでに脆弱性を悪用した攻撃者を排除できない可能性があるためです。
セキュリティチームは、Webサーバーのログ、Strutsアプリケーションのログ、プロセスの動作、外部へのネットワーク接続、新規作成されたアカウント、スケジュールされたタスク、Webシェル、アプリケーションディレクトリへの不正な変更などを確認する必要があります。
調査担当者は、侵害されたサーバーが認証情報、社内サービス、隣接するシステムにアクセスしていないかどうかも調べるべきです。旧バージョンのStrutsを運用している組織は、まず対象のアプリケーションがインターネットからアクセス可能かどうか、また動的メソッド呼び出しが有効になっているかどうかを確認してください。
そのうえで、ベンダーがサポートするリリースへアップグレードするか、すぐに更新できない場合は公開されている機能を無効化する必要があります。信頼できる緩和策がない場合、CISAは対象製品の使用中止を推奨しています。
CISAの登録情報では、この脆弱性についてランサムウェアでの使用は確認されていないとしています。しかし、攻撃者は公開されているフレームワークのリモートコード実行の脆弱性を、初期侵入の手段として頻繁に利用しています。
防御側は、悪用の試みを単なるパッチ管理上の問題としてではなく、侵入の可能性があるものとして扱うべきです。とりわけ、影響を受けるアプリケーションが機密データを扱っている場合や、社内インフラへの特権アクセスを持っている場合は注意が必要です。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。 チームで試してみる
