JMX-based RCE in Spring Tools Live Info Mode (CVE-2026-47858)

脆弱性概要 CVE番号: CVE-2026-47858 公開日: 2026年7月29日 重大度: 高 説明: Spring Toolsでリアルタイム情報（Live Info）モードを有効にしている場合、Spring Bootアプリケーションの起動により、実行中のアプリケーションがJMXベースのリモートコード実行攻撃に晒される可能性がある。この問題は、Eclipse、Visual Studio Code、Theia、Cursorにおけるリアルタイム情報機能すべてに影響を与えますが、最近導入されたClaude Codeの拡張機能は例外です。 影響範囲 影響を受けるSpring製品とバージョン: - Spring Tools for Eclipse: 5.2.0およびそれ以前のバージョン - Spring Tools for VSCode / Cursor / Theia: 2.2.0およびそれ以前のバージョン - バージョン5.0.0以前（サポート終了）のバージョンすべても影響を受けます。 修正方法 緩和策: - 影響を受けるバージョンは、それぞれ対応する修正バージョンにアップグレードすべきです。 - Spring Tools for Eclipse: - 修正バージョン: 5.3.0 - 入手可能性: OSS - Spring Tools for VSCode / Cursor / Theia: - 修正バージョン: 2.3.0 - 入手可能性: OSS パッチ未適用バージョンの暫定対処策: IDEからSpring Bootアプリケーションを起動する際、リアルタイム情報の有効化を無効にします。 参考リンク NVD NIST CVSS計算機 履歴 2026-07-29: 初期脆弱性レポート公開。 脆弱性報告 Springプロジェクト群におけるセキュリティ脆弱性の報告については、セキュリティポリシーをご参照ください。 --- 注意: ページにはPOCコードやエクスプロイトコードは含まれていません。

目標達成 すべての支援者に感謝 — 100%達成しました！

JMX-based RCE in Spring Tools Live Info Mode (CVE-2026-47858)

目標達成すべての支援者に感謝 — 100%達成しました！