2016年公表のStruts脆弱性CVE-2016-3081、10月にCISAが悪用確認

CVE-2016-3081とは——Apache Strutsに潜むリモートコード実行の脆弱性

CVE-2016-3081は、JavaのウェブアプリケーションフレームワークであるApache Strutsに存在するリモートコード実行（RCE）の脆弱性で、2016年4月26日にCVEとして公開された（出典: cve.org）。脆弱性そのものは10年前のものだが、2026年10月8日にCISAが悪用を確認してKEVカタログに追加した。新しく見つかった脆弱性ではなく、古い版のStrutsが今も狙われているという点が、今回の注意点である。

この脆弱性の核心は、Dynamic Method Invocation（DMI）が有効に設定されている場合に発現する点にある。リモートの攻撃者がmethod:プレフィックスを含むリクエストを送ることで、連鎖した式（chained expressions）を通じてサーバー上で任意のコードを実行できる状態になる。CVSSの評価は認証不要（PR:N）で、ネットワークから直接到達できる環境では攻撃の起点になり得る。

CVSS 3.1スコアは8.1（HIGH）と評価されている（評価者: CISA-ADP、ベクター: AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）。

2026年10月8日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）はKnown Exploited Vulnerabilities（KEV）カタログにCVE-2016-3081を追加した（出典: CISA KEV）。KEVへの掲載は「実際の攻撃での悪用が確認された」ことを意味する。EPSSスコア（悪用確率の統計的推定値）は0.965（パーセンタイル99.9%相当、2026年10月29日時点、出典: FIRST EPSS）と極めて高い水準にある。ただしEPSSはあくまで統計的推定であり、特定環境での悪用を確定するものではない。

関連記事VMware ESXの脆弱性、CISA警告と対処は？ ／ Magento脆弱性、ECサイトは今すぐ何を？

Struts脆弱性CVE-2016-3081の対象バージョンと影響範囲

CVEの公式記録（cve.org）に基づき、影響を受けるApache Strutsのバージョンは以下のとおりである。

表1: CVE-2016-3081の影響を受けるApache Strutsバージョン（出典: cve.org）

バージョン範囲	DMI設定との関係	公式告知の修正版
2.3.19 〜 2.3.20.2	DMI有効時に影響	2.3.20.3
2.3.21 〜 2.3.24.1	DMI有効時に影響	2.3.24.3
2.3.25 〜 2.3.28	DMI有効時に影響	2.3.28.1

この脆弱性はDynamic Method Invocation（DMI）が有効な場合に影響する。

Linuxディストリビューションなどの配布パッケージを使う場合は、上流の版番号ではなく、配布元の告知にある修正版で判断する。Apache Struts公式の告知（S2-032）は、可能ならDMIを無効にすること、またはStruts 2.3.20.3、2.3.24.3、2.3.28.1のいずれかへ更新することを勧めている。

CISA KEV掲載が意味すること——2026年10月、悪用確認の重みを読む

CISAのKEVカタログは、実際の攻撃において悪用が確認されたCVEのみを収録するリストであり、理論的なリスク評価ではない。CVE-2016-3081は2026年10月8日に追加され、対処期限は2026年10月11日と設定された。

この期限はCISAが定めるBinding Operational Directive（BOD）26-04に基づく米国連邦機関向けのものであり、日本企業に法的義務は生じない。しかしKEVへの掲載は「実際の攻撃で悪用が確認された」という事実の表明であり、組織の優先度判断において無視できない根拠になる。ただし、自社が影響を受けるかどうかは、使っているStrutsの版とDMIの設定で決まる。

CISAが示した必要な対処の要旨は次のとおりである。「ベンダーの指示に従ってミティゲーションを適用し、BOD 26-04のガイダンスおよびCISAの『Forensics Triage Requirements』に準拠すること。クラウドサービスについては適切なBOD 26-04ガイダンスに従い、ミティゲーションが利用できない場合は製品の使用を停止すること」（出典: CISA KEVカタログ）。

ランサムウェアでの利用については、KEV上の記載は「Unknown」であり、現時点で確認情報はない。

対処——修正版への更新とDMIの無効化

• 修正版へ更新する。Apache Struts公式の告知はS2-032で、更新先は2.3.20.3、2.3.24.3、2.3.28.1。
• 公式の回避策は、DMIの無効化。詳細は公式告知を参照。
• CISAの対処期限は2026年10月11日（米連邦機関向けで、日本企業への義務ではない）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2016-3081 — CVE公式記録（cve.org）
  https://www.cve.org/CVERecord?id=CVE-2016-3081
• CVE-2016-3081 — NVD（NIST National Vulnerability Database）
  https://nvd.nist.gov/vuln/detail/CVE-2016-3081
• Known Exploited Vulnerabilities Catalog — CISA
  https://www.cisa.gov/known-exploited-vulnerabilities-catalog