米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、Apache Strutsのコマンドインジェクションの脆弱性である「CVE-2016-3081」を、悪用の証拠が確認されたとして、既知の悪用された脆弱性（KEV）カタログに追加しました。深刻度は「クリティカル」です。
Cybersecuritynews platform
この脆弱性は、動的メソッド呼び出し（DMI）を有効にしているApache Strutsの環境に影響します。
CWE-77として識別されたこの欠陥により、リモートの攻撃者は、method:プレフィックスを使った細工済みリクエストを送り込み、任意のコードを実行できます。
悪用に成功すると、攻撃者は影響を受けるWebアプリケーションサーバーを掌握できます。Webシェルの設置、アプリケーションデータの窃取、ラテラルムーブメント（横展開）、永続化の確立といった行為が可能になります。
Apache Strutsのコマンドインジェクションの脆弱性
CVEレコードによると、影響を受けるApache Strutsのバージョンは、2.3.19から2.3.20.2、2.3.21から2.3.24.1、2.3.25から2.3.28です。Apacheは、この脆弱性に関するセキュリティ情報をアドバイザリ「S2-032」として公開しています。
CISAは2026年10月8日にこの脆弱性をKEVカタログに追加し、対象となる連邦文民行政機関に対して2026年10月11日を是正期限に設定しました。
CISAのエントリでは、リスクに基づいてセキュリティ更新の優先度を決める拘束力のある運用指令（BOD）26-04に従い、ベンダーが提供する緩和策を実施するよう組織に求めています。KEVエントリはまた、この脆弱性を「フォレンジックトリアージが必要」なものに分類しています。
フォレンジックトリアージが求められている点は、インターネットに公開されたStrutsアプリケーションを守る担当者にとって重要です。パッチを適用すれば脆弱性は解消されますが、過去に攻撃者が悪用していたかどうかまでは確認できません。
そのためセキュリティチームは、Webサーバー、リバースプロキシ、アプリケーション、認証システム、エンドポイント、ネットワークの過去のテレメトリを調べ、侵害されたアプリケーションサーバーに関連する不審なリクエストや、その後の不審な動きがないかを確認する必要があります。
管理者はまず、レガシーなものや外部ホスティングのものを含め、すべてのApache Strutsの導入環境を洗い出してください。そのうえで、DMIが有効になっているか、導入済みのバージョンが影響を受ける範囲に入っているかを確認します。
組織は、ベンダーがサポートする脆弱性のないバージョンのStrutsへアップグレードしてください。すぐにアップグレードできない場合は、Apacheが示す緩和策を適用する必要があります。
防御担当者はこのほか、アプリケーションのインターネット露出状況を評価し、管理用インターフェースへのアクセスを制限し、影響を受けたサーバーの認証情報をローテーションしてください。あわせて、想定外のプロセス実行、新たに登録されたスケジュールタスク、改変されたアプリケーションファイル、見慣れない外向きの通信も調査する必要があります。
Apache Strutsの脆弱性は、これまでも無差別なスキャンや悪用の標的になってきました。こうした経緯を踏まえると、パッチ未適用のまま公開されているインスタンスは、インシデント対応で優先的に扱うべき対象と考えるべきです。
CISAのKEVリストには、CVE-2016-3081に関連するランサムウェアでの使用実績は記載されておらず、その状況は不明です。ただし、公開されているアプリケーションでリモートコード実行が可能になれば、金銭目的の攻撃者を含む多様な脅威が足がかりとして悪用するおそれがあります。
平均対応時間（MTTR）を21分短縮し、被害が出る前にサイバー脅威を阻止します。ANYRUNのSandboxをSOCに統合しましょう。
Cybersecuritynews platform
翻訳元: https://gbhackers.com/cisa-adds-actively-exploited-apache-struts-command-injection-flaw/
