「Apache Axis2/Java」のクラスタリング機能に脆弱性

Javaにより実装されたウェブサービスエンジン「Apache Axis2/Java」のクラスタリング機能に脆弱性が判明した。対象機能を削除したアップデートが提供されている。

開発チームが2026年7月28日にメーリングリストで、信頼できないデータをデシリアライズする脆弱性「CVE-2026-66713」について明らかにしたもの。開発チームでは重要度を「低（Low）」としている。

「Apache Tomcat」上でTribesベースのクラスタリングを有効化している場合に影響を受ける。攻撃者は認証を必要とせず、クラスタリングポートにネットワーク経由でアクセスできる場合、細工したオブジェクトを送信することで任意のコードを実行することが可能。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

開発チームでは、「Apache Axis2/Java 2.0.1」にてクラスタリング機能を削除。同バージョン以降へのアップデートを呼びかけている。

（Security NEXT - 2026/07/29 ）ツイート