「Apache CXF」に複数の脆弱性 - 修正版が公開

さらに重要度が「中（Moderate）」とされる認証回避の脆弱性「CVE-2026-50623」や、過去に対応した「CVE-2026-44417」の修正が不十分なことに起因する「JNDIインジェクション」の脆弱性「CVE-2026-50632」などに対応。

特定の構成においてリフレッシュトークンの同時利用により複数のアクセストークンを作成できる「CVE-2026-50631」やサービス拒否の脆弱性「CVE-2026-50645」など、重要度「低（Low）」とされる4件についても解消した。

一方、今回判明した「CVE-2026-50632」「CVE-2026-50633」について、GitHubでは共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、「クリティカル（Critical）」とするなど、一部評価がわかれている。

開発チームでは現地時間2026年6月10日、これら脆弱性を修正した「同4.2.2」「同4.1.7」をリリース。アップデートを呼びかけている。今回のアップデートで修正された脆弱性は以下のとおり。

CVE-2026-49875
CVE-2026-50623
CVE-2026-50627
CVE-2026-50628
CVE-2026-50629
CVE-2026-50630
CVE-2026-50631
CVE-2026-50632
CVE-2026-50633
CVE-2026-50634
CVE-2026-50645

（Security NEXT - 2026/06/15 ） ツイート

PR

関連記事

「Oracle PeopleSoft」脆弱性、ランサム攻撃にも悪用 - 米当局が注意喚起
5月下旬以降、「PeopleSoft」にゼロデイ攻撃 - 対策と侵害有無の調査を
Oracle「PeopleSoft」に深刻なRCE脆弱性 - ただちに対応を
「Ivanti Sentry」脆弱性の悪用確認 - PoC公開でリスク増
「Chrome」に今週2度目のセキュ更新 - 脆弱性28件を修正
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Arista EOS」ゼロデイ含む脆弱性3件を悪用リストに追加 - 米当局
「OpenSSL」にセキュリティアップデート - 脆弱性18件を修正
ビデオ会議ツール「Zoom」のモバイルクライアントなどに脆弱性
「Ivanti Sentry」に複数の深刻な脆弱性 - 修正版を公開