「Apache MINA」に深刻な脆弱性2件 - アップデートを

Java向けネットワークアプリケーションフレームワーク「Apache MINA」に深刻な脆弱性2件が明らかになった。

Apache Software Foundationは現地時間2026年4月27日、信頼できないデータをデシリアライズする脆弱性「CVE-2026-41409」「CVE-2026-41635」に関する情報を公開した。悪用されるとリモートよりコードを実行されるおそれがある。

「CVE-2026-41409」は、2024年に公表された「CVE-2024-52046」の修正が不完全だったことに起因。許可リストを適用するタイミングに問題があり、デシリアライズ処理において、信頼できないデータに含まれるクラスの読み込みや初期化処理が、安全確認前に実行されるおそれがある。

あわせて一部の静的クラスやプリミティブ型に関する経路でクラス名フィルタを確認せずに処理する脆弱性「CVE-2026-41635」が確認された。

共通脆弱性評価システム「CVSSv3.1」のベーススコアはいずれも「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームは、「Apache MINA 2.2.6」「同2.1.11」「同2.0.28」にて脆弱性を修正。利用者にアップデートを呼びかけている。

（Security NEXT - 2026/04/28 ）ツイート