Apache Software Foundationは現地時間2026年11月5日、オープンソースのビジネスアプリケーションスイート「Apache OFBiz」に関するセキュリティアドバイザリを公開した。ログインページウィジェットに、コードインジェクションの脆弱性「CVE-2026-83542」が見つかったとしている。
この脆弱性は、細工した画面定義用XMLファイルのアップロードと、画面構成を外部から指定する内部設定の操作によって悪用される。不正なXMLが読み込まれると、含まれるGroovyの式がサンドボックスの外で評価され、サーバ上で任意のコードを実行されるおそれがある。
悪用にはサーバ上へのファイル保存を必要とせず、データの送信処理中に攻撃が可能という。ログイン時の認証失敗画面を生成する処理などが悪用されるほか、ログイン画面以外の経路でも同様に悪用できることが確認されている。実行されたコマンドの結果はHTTPレスポンスとして返されるという。
米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、この脆弱性のCVSSv3.1ベーススコアを9.8とし、重要度を4段階で最も高いクリティカルと評価した。開発チームは修正版の24.09.08を提供しており、同バージョンでは今回の脆弱性に加えて45件の脆弱性にも対処している。
MARBLEの対応例：この件の場合
MARBLEは、Apache OFBizの利用状況とバージョンをまず確かめる。
- 自社のサーバーでApache OFBizを利用しているかを確かめる
- 利用中のバージョンと24.09.08への更新状況を確かめる
- 更新に伴い改修が必要なプログラムを確かめる
- Apache OFBizを更新し、関連するプログラムの動作を確認する
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
Security NEXT「「Apache OFBiz」にRCE脆弱性 - 修正版がリリース」（2026年11月6日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
