Apache Strutsの脆弱性(Moderate: CVE-2026-73631, CVE-2026-73633, CVE-2026-73634, CVE-2026-73635, Low: CVE-2026-73632)

08/14/2026にApache Strutsの脆弱性(Moderate: CVE-2026-73631, CVE-2026-73633, CVE-2026-73634, CVE-2026-73635, Low: CVE-2026-73632)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク(最新5件)]

• Apache StrutsのXXE脆弱性(CVE-2025-68493)
• Apache Strutsの脆弱性(Important: CVE-2025-64775 (採番し直し：CVE-2025-66675が最新))
• Strutsの脆弱性(Critical: CVE-2024-53677)
• Strutsの脆弱性(Critical: CVE-2023-50164)
• Strutsの脆弱性(Moderate: CVE-2023-41835)

CVSS/プライオリティ

• CVE-2026-73631
  • 影響するバージョン
    • Struts 7.2.1
  • Priority/CVSS SCORE
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Moderate
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-08-13
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-73632
  • 影響するバージョン
    • Struts 7.2.1
  • Priority/CVSS SCORE
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Low
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-08-13
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-73633
  • 影響するバージョン
    • Struts 2.1.8 through 2.3.37 (EOL)
    • Struts 2.5.0 through 2.5.33 (EOL)
    • Struts 6.0.0 through 6.10.0
    • Struts 7.0.0 through 7.2.1
  • Priority/CVSS SCORE
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Moderate
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-08-13
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-73634
  • 影響するバージョン
    • Struts 6.0.0 through 6.10.0
    • Struts 7.0.0 through 7.2.1
  • Priority/CVSS SCORE
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Moderate
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-08-13
    • EPSS: Not Available
    • Percentile: Not Available
• CVE-2026-73635
  • 影響するバージョン
    • Struts 2.1.8 through 2.3.37 (EOL)
    • Struts 2.5.0 through 2.5.33 (EOL)
    • Struts 6.0.0 through 6.10.0
    • Struts 7.0.0 through 7.2.1
  • Priority/CVSS SCORE
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Moderate
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • CVSS Vector
    • NVD/CNA(CVSSv4): Not disclosed
    • NVD/CNA(CVSSv31): Not disclosed
    • Red Hat(CVSSv4): Not disclosed
    • Red Hat(CVSSv31): Not disclosed
  • EPSS Score/Percentile
    • DATE(JST): 2026-08-13
    • EPSS: Not Available
    • Percentile: Not Available

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• https://www.cve.org/CVERecord?id=CVE-2026-73631
  • リクエストごとの解析状態を保持するJSONプラグインコンポーネントが、単一のリクエストではなく、複数のリクエスト間で共有される可能性があります。リクエストが並行して処理される際には、状態が分離されていないため、リクエストに関連するデータが別のリクエストから参照可能になったり、設定された制限が意図した通りに適用されなかったりする恐れがあります。 JSONプラグインを使用していないアプリケーションは影響を受けません。プラグインの機能のうち影響を受けるのは、JSONリクエストボディからアクションのプロパティを生成・設定する処理ですが、この機能はデフォルトでは有効になっていません。以前のリリースには影響ありません。
  • 迂回策：JSONプラグインを使用しないアプリケーション、またはJSONリクエストボディからアクションを設定しないアプリケーションは影響を受けず、何も対応する必要はありません。
• https://www.cve.org/CVERecord?id=CVE-2026-73632
  • レスポンスごとのシリアライズ状態を保持するJSONプラグインコンポーネントが、単一のリクエストではなく、リクエスト間で共有される可能性があります。リクエストが並行して処理される際には、状態が分離されていないため、リクエストに関連するレスポンスの内容が別のリクエストで参照出来てしまう可能性があります。 JSONプラグインを使用していないアプリケーションは影響を受けません。プラグイン内では、デフォルトでは有効になっていないJSONインターセプターのSMD/JSON-RPC処理のみが影響を受けます。リクエストごとに個別のライターが使用されるため、json result typeを使用しているアプリケーションは影響を受けません。以前のリリースには影響がありません。
  • 迂回策：すぐにアップグレードできないユーザーは、JSONインターセプターのSMDサポートを無効のままにしておくことができます。これはデフォルトの設定です。
• https://www.cve.org/CVERecord?id=CVE-2026-73633
  • アプリケーションがJSONリクエストボディからアクションパラメータを設定するように構成されている場合、そのプラグインはリクエストボディのサイズを制限することなくメモリに読み込みます。そのため、単一のリクエストによってリクエストサイズに応じたメモリがサーバー上で確保され、ヒープ領域が枯渇して他のユーザーへのサービス提供が不可能になる(DoS)可能性があります。 JSON入力の長さを制限する設定はこの読み込みには適用されないため、制限値を下げても脆弱性のリスクを低減することはできません。 この問題はStrutsのコア機能の一部ではないオプションのJSONプラグインコンポーネントに限定されたものです。したがって、JSONプラグインを使用していないアプリケーションや、JSONリクエストボディの処理機能を有効にせずに同プラグインを使用しているアプリケーション（この機能はデフォルトでは無効になっています）は、この問題の影響を受けません。
  • 迂回策：設定変更による迂回策はありません。リバースプロキシなどでリクエストボディの最大サイズを強制的に設定することで迂回できる可能性があります。
• https://www.cve.org/CVERecord?id=CVE-2026-73634
  • Strutsは、ブラウザから送信されるContent Security Policy（CSP）違反レポートを収集するためのオプション機能を提供しています。このような収集用エンドポイントを公開するアプリケーションは、送信されたレポートをメモリに読み込みますが、その際の受け入れサイズに制限を設けていません。そのため、単一のリクエストによってリクエストサイズに応じたメモリがサーバー上で確保され、ヒープ領域が枯渇して他のユーザーへのサービス提供が不可能になる(DoS)可能性があります。ブラウザが直接送信を行うため、こうしたエンドポイントは通常、認証なしでアクセス可能な状態にあります。 特定のプラグインの問題とは異なり、影響を受ける機能はStrutsのコアの一部として提供されています。ただし、アプリケーションがレポート収集用エンドポイントを明示的にマッピングしない限り、この機能は動作しません。デフォルトではそのようなエンドポイントはマッピングされておらず、単にContent Security Policyサポートを有効にしただけではエンドポイントは公開されません。したがって、違反レポートを収集しないアプリケーションであれば、対象となるバージョンのいずれを実行していても、この問題の影響を受けることはありません。
  • 迂回策：レポート収集エンドポイントのマッピングを削除することで迂回できます。
• https://www.cve.org/CVERecord?id=CVE-2026-73635
  • Strutsは、型変換エラーやバリデーションエラーなどのメッセージを解決するために、ローカライズされたテキストの検索を行います。ロケールが固定して設定されていない場合、検索に使用されるロケールは受信リクエストから取得されます。このデフォルトの設定のままでは、認証されていないリモートクライアントによってフレームワーク内部のローカライズ済みテキストキャッシュが無制限に増大し、Javaヒープが枯渇して、他のユーザーへのサービス提供が不可能になる（DoS）可能性があります。 リクエストに含まれるロケールをメッセージ検索に使用しないよう、ロケールを固定的に設定しているアプリケーションは、この影響を受けません。
  • 迂回策：struts.localeを設定することで迂回できます。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2026-73631
  • https://security-tracker.debian.org/tracker/CVE-2026-73632
  • https://security-tracker.debian.org/tracker/CVE-2026-73633
  • https://security-tracker.debian.org/tracker/CVE-2026-73634
  • https://security-tracker.debian.org/tracker/CVE-2026-73635
• Red Hat Enterprise Linux/CentOS/Rocky Linux/Alma Linux
  • https://access.redhat.com/security/cve/CVE-2026-73631
  • https://access.redhat.com/security/cve/CVE-2026-73632
  • https://access.redhat.com/security/cve/CVE-2026-73633
  • https://access.redhat.com/security/cve/CVE-2026-73634
  • https://access.redhat.com/security/cve/CVE-2026-73635
• Ubuntu
  • https://ubuntu.com/security/CVE-2026-73631
  • https://ubuntu.com/security/CVE-2026-73632
  • https://ubuntu.com/security/CVE-2026-73633
  • https://ubuntu.com/security/CVE-2026-73634
  • https://ubuntu.com/security/CVE-2026-73635
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2026-73631.html
  • https://www.suse.com/security/cve/CVE-2026-73632.html
  • https://www.suse.com/security/cve/CVE-2026-73633.html
  • https://www.suse.com/security/cve/CVE-2026-73634.html
  • https://www.suse.com/security/cve/CVE-2026-73635.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

• https://cwiki.apache.org/confluence/display/WW/S2-070
• https://cwiki.apache.org/confluence/display/WW/S2-071
• https://cwiki.apache.org/confluence/display/WW/S2-072
• https://cwiki.apache.org/confluence/display/WW/S2-073
• https://cwiki.apache.org/confluence/display/WW/S2-074