• ひとことでApache Strutsで、ある機能が有効なときに遠隔から任意のコードを実行される弱点です。
  • 深刻度8.1 重要CVSS v3.1
  • まずやること2.3.20.3、2.3.24.3、2.3.28.1のどれかに更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2016-3081
製品Apache Struts
深刻度（CVSS）8.1 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2026-10-08
米国政府機関の対応期限2026-10-11
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-77（コマンドインジェクション）

何が起きた

Apache Struts に、遠隔から任意のコード（プログラム）を実行される弱点が見つかり、実際に悪用が確認されています。「動的メソッド呼び出し（Dynamic Method Invocation）」という機能が有効になっているときに、「method:」で始まる細工した値を送られると悪用されます。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. 動的メソッド呼び出しの処理が値を受け付ける → 3. 任意のコードが実行される1攻撃者が細工した値を送る2動的メソッド呼び出しの処理が値を受け付ける3任意のコードが実行される攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. 動的メソッド呼び出しの処理が値を受け付ける → 3. 任意のコードが実行される1攻撃者が細工した値を送る2動的メソッド呼び出しの処理が値を受け付ける3任意のコードが実行される攻撃の流れ: 1. 攻撃者が細工した値を送る → 2. 動的メソッド呼び出しの処理が値を受け付ける → 3. 任意のコードが実行される1攻撃者が細工した値を送る2動的メソッド呼び出しの処理が値を受け付ける3任意のコードが実行される

誰が影響を受ける

Apache Struts の 2.3.20〜2.3.28 のうち、修正版（2.3.20.3、2.3.24.3）を除くバージョンを、動的メソッド呼び出しを有効にして使っている人や組織が影響を受けます。

何をすればいい

使っている Struts のバージョンと、動的メソッド呼び出しが有効かどうかを確かめてください。修正版の 2.3.20.3、2.3.24.3、2.3.28.1 のどれかへ更新しましょう。すぐに更新できない場合は、動的メソッド呼び出しを無効にしてください。また CISA は、この脆弱性について侵害の痕跡がないか調べるよう求めています。

やることチェックリスト

  • 2.3.20.3、2.3.24.3、2.3.28.1のどれかに更新する
  • すぐ更新できなければ動的メソッド呼び出しを止める
  • 侵害の痕跡がないか調べる

用語メモ

Apache Struts
Java でウェブアプリを作るときに使われる、広く普及した部品（フレームワーク）です。
動的メソッド呼び出し
送られてきた値によって、アプリの中のどの処理を動かすかを切り替えられる機能のことです。
任意のコード 用語集で見る
攻撃者が好きに選べるプログラムのことです。

次に読む

同じ製品・メーカーの脆弱性Apache Struts（CVE-2013-2251）9.8 緊急CVSS v3.1Apache Struts で、細工した指定から外部の命令を実行される弱点です。同じ製品・メーカーの脆弱性Apache Struts（CVE-2020-17530）9.8 緊急CVSS v3.1Apache Struts で、入力の扱い方しだいで遠くからプログラムを動かされる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apache Struts Command Injection Vulnerability

概要

Apache Struts contains a command injection vulnerability that could allow remote attackers to execute arbitrary code via method:prefix when Dynamic Method Invocation is enabled.

推奨対応

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

この元データの出どころ: CISA KEV カタログで見る