Apache Struts におけるリモートコード実行の脆弱性

Apache Struts において、Dynamic Method Invocation（DMI）が有効な場合に「method:」プレフィックスを悪用して任意のコマンド実行が可能になる脆弱性が存在する。本脆弱性は CISA の悪用済み脆弱性カタログ（KEV）に追加されており、攻撃者による実際の悪用が確認されている。リモートからサーバー上で任意の OS コマンドを実行される恐れがあり、機密情報の漏洩やシステム全体の乗っ取りにつながる可能性があるため、極めて重大な脅威である。CISA は米国の連邦政府機関に、2026年10月11日までの対応を求めている。