「Apache Struts」「BIND」など悪用脆弱性リストに5件追加 - 米当局

米当局は、「Apache Struts」「ProFTPD」をはじめとする5件の脆弱性が悪用されているとして注意を呼びかけた。侵害状況の調査も求めている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年10月8日、「悪用が確認された脆弱性カタログ（KEV）」に5件を追加した。米行政機関に対して10月11日を期限として対応を求めている。

具体的には「ProFTPD」「ONLYOFFICE Docs」「Strapi」「Apache Struts」「BIND」に関する脆弱性。いずれも2015年から2023年にかけてCVE番号が採番されている。

ヘッドレスCMSの「Strapi」に関する脆弱性「CVE-2023-22894」は、機密情報が平文で保存される問題に起因。管理画面へアクセスできる攻撃者がクエリフィルタを通じて機密性の高い利用者情報を取得できる。

別の脆弱性「CVE-2023-22621」と組み合わせることで、リモートからコードを実行できるという。影響を受ける製品のサポートが終了している可能性もあるとして注意を促した。

（Security NEXT - 2026/10/09 ）ツイート