「Apache Struts」にDoS脆弱性 – メモリ枯渇のおそれ

ウェブアプリケーションフレームワーク「Apache Struts」に、サービス拒否（DoS）につながる脆弱性が明らかとなり、特定の条件下でメモリ枯渇を起こすおそれがあるとして注意が呼びかけられている。開発チームからは修正を含むアップデートが提供されている。

事案の詳細

対象となったのは、JavaのWebアプリケーションフレームワーク「Apache Struts」。認証なしでリモートからサービス拒否（DoS）を引き起こすことが可能となる脆弱性「CVE-2026-73635」が指摘されており、攻撃や想定外の入力などを契機にメモリが消費され続け、ヒープ領域が枯渇する可能性があるという。開発チームは本件の重要度を「中（Moderate）」とレーティングしている。

本脆弱性は、ローカライズされたメッセージの処理において内部キャッシュを際限なく利用してしまう実装に起因しており、リクエスト由来のロケールによってヒープ領域の枯渇が引き起こされるおそれがあるとされる。ロケールを設定で固定している環境は、この脆弱性の影響を受けないと説明されている。

DoSは、情報を盗むタイプの攻撃と異なり、システムを「使えない状態」に追い込む点が特徴だ。今回の脆弱性も、メモリが不足することでアプリケーションの応答が遅くなったり停止したりするなど、サービス提供に影響が及ぶおそれが示されている。共通脆弱性評価システム「CVSS v4.0」のベーススコアは8.7、「CVSS v3.0」では7.5と評価されており、重要度は「高（High）」相当とされる。

現時点で、被害事例の有無や、攻撃が実際に観測されているかどうかといった追加の情報について、公開された記事やアドバイザリから具体的な報告は確認できない。したがって本件は、まず脆弱性の存在と、その影響としてメモリ枯渇によるDoSが起こり得るという点に焦点が当たる。

影響と背景

Apache StrutsはWebアプリケーションの基盤として広く利用されており、もし業務システムや顧客向けサイトで使われている場合、影響は「表示されない」「操作できない」といった形で利用者に直接現れ得る。今回の論点は機密情報の流出ではなく、可用性（サービス継続）の低下であり、復旧対応や問い合わせ増加など運用面の負荷が課題になりやすい。

開発チームでは、キャッシュサイズに制限を設け、最大値を設定できるようにする修正を行い、「Apache Struts 7.3.0」および「Apache Struts 6.11.0」をリリースしている。これらのバージョンで本脆弱性は修正済みとされる。一方で、「Apache Struts 2.5.33」「Apache Struts 2.3.37」およびそれ以前のバージョンも同様の問題の影響を受けるが、すでにサポートが終了しており、修正予定はないと説明されているため、こうした旧バージョンを利用している環境では特に注意が必要となる。

対策・今後の展望

• 利用有無の棚卸し：自社のWebアプリケーションでApache Strutsを使用しているかを把握し、該当する場合は影響評価を行う。特に、サポートが終了した古いバージョン（2.5.33以前、2.3.37以前など）が稼働していないかを確認する。
• ベンダー/開発元情報の確認：Struts本体や関連コンポーネントの更新情報、修正状況を確認し、7.3.0または6.11.0へのアップデートを含め、必要に応じてアップデート計画を立てる。サポート終了バージョンを利用している場合は、可能な限りサポート対象バージョンへの移行を検討する。
• 運用監視の強化：メモリ使用量の急増、応答遅延、プロセス再起動の増加など、DoSの兆候となる指標を重点的に監視する。ロケールを固定していない環境では、外部からのリクエストによるロケール指定がメモリ消費に影響し得るため、アクセスパターンとリソース使用状況の相関にも注意する。

CSRIからの現場アドバイス

【観点①：現場で何が起きているか】CSRIが支援する中小企業の診断現場では、Webアプリの基盤が「昔のまま動いている」ケースが多く、フレームワークの更新が後回しになりがちです。MDRでは、Webサーバの負荷急増やアプリの再起動が短時間に繰り返されるアラートが、DoS系トラブルの入口として目立ちます。今回の脆弱性のようにメモリ枯渇が原因となるケースでは、通常時と比較してヒープ使用量が急激に増加している状況が観測されることがあります。

【観点②：平易な解説】例えるなら、受付に大量の問い合わせが一気に押し寄せて電話回線がふさがり、正規のお客様の電話がつながらなくなるようなものです。つまり、データが盗まれなくても、サイトや業務画面が止まれば仕事や売上に影響します。今回のポイントは、「メモリという作業机が散らかり、机が埋まって作業不能になる」状態が起こり得る点です。ローカライズされたメッセージを際限なく机の上に積み上げてしまうことで、作業スペースがなくなり、正規の処理がこなせなくなるイメージです。

【観点③：今週中にできること】まず、稼働中のWebシステムでApache Strutsを使っているかを、資産台帳や開発会社への確認で洗い出してください。次に、サーバのメモリ使用量とアプリ停止の履歴を今週分だけでも確認し、急増や再起動がないか担当者で共有します。特に、外部からのアクセスが増えたタイミングとメモリ使用量の変化を合わせて確認すると、DoSの兆候を早期に把握しやすくなります。最後に、更新情報の確認担当と、適用判断の責任者を決め、対応が滞らない体制にしておくことが重要です。修正済みバージョンへのアップグレード方針とスケジュールを、経営層やシステムオーナーと共有しておくと、古いバージョンが残り続けるリスクを低減できます。

参照: 「Apache Struts」にDoS脆弱性 – メモリ枯渇のおそれ