JVN iPediaは2026年10月13日、Apache log4netでログの一部が保存されなくなる脆弱性CVE-2026-105239を掲載しました。同データベースには、別の出力設定などに関する3件も掲載されています。いずれも特定の設定を使うアプリが対象で、JVNは修正版のApache log4net 3.5.0への更新を推奨しています。
4件ともログが欠ける問題、対象設定は異なる
今回の4件は、ログに残るはずの情報が一部失われたり、イベント全体が記録されなかったりする問題です。JVN記載のCVSS v3基本値は、いずれも5.3(警告)です。CVSSは脆弱性の深刻度を示す指標ですが、社内での対応判断には、使用版と設定の照合も必要です。
CVE-2026-105239は、WindowsでEventLogAppenderを使うアプリが対象です。NUL文字が含まれると、それ以降の例外メッセージやフィールドが保存されません。JVNによると、ログにデータを送り込める者が、レコードの残りを隠せます。
CVE-2026-105240もWindows向けですが、対象はOutputDebugStringAppenderを使うアプリです。NUL文字によってデバッグ出力が途切れ、後続の情報が失われます。
CVE-2026-105241は、SmtpPickupDirAppenderのUnicode処理に関する問題です。文字を出力用の形式に変換できない内容があると、書き込み時に例外が発生し、まとめて処理するバッチ全体が破棄されます。ログにデータを送り込める者が、他のイベントの記録も抑制できるとされています。
この3件が影響する版は、Apache log4net 1.2.9以上3.5.0未満です。Appenderはログの出力に使う機能を指します。名前が似ていても対象は異なるため、実際に使っている設定を確認してください。
ASP.NETのリクエスト記録も確認対象
CVE-2026-105242は、.NET Framework用ASP.NETで、ログのレイアウトに「%aspnet-request」を使うアプリが対象です。影響する版はApache log4net 1.2.11以上3.5.0未満です。
JVNによると、リクエスト検証による例外が起きると、イベント全体が破棄されます。送信者が自身のリクエストのログ記録を抑制できる可能性があります。
情シスにとっての確認点は、単にログが出ているかどうかではありません。対象設定を使っている場合、ログが残っていても情報の一部が欠ける、または別のイベントまで失われる問題があります。調査や監視に利用するログについて、使用版と出力設定をセットで把握する必要があります。
影響する会社・しない会社
- 影響する: Apache log4net 1.2.9以上3.5.0未満を使用し、WindowsでEventLogAppenderまたはOutputDebugStringAppenderを使うアプリを運用する会社です。
- 影響する: 同じ版の範囲でSmtpPickupDirAppenderを使うアプリを運用する会社です。この項目の対象条件にWindows限定とは書かれていません。
- 影響する: Apache log4net 1.2.11以上3.5.0未満を使用し、.NET Framework用ASP.NETのレイアウトに「%aspnet-request」を使う会社です。
- 影響しない: Apache log4netを使用していない会社は、今回の4件の対象ではありません。
- 影響しない: 今回の対象設定をいずれも使っていないアプリは、記載された対象条件には当たりません。Apache log4net 3.5.0は、4件の修正版として案内されています。
情シスが今日やること
- アプリの担当者と使用版を確認します。 社内のアプリ一覧を起点に、開発担当者や保守委託先へApache log4netの使用有無と組み込まれている版を照会します。版が分からないものは、今日の確認対象として担当者を決めます。
- ログ設定の該当箇所を照合します。 開発担当者と設定内容を確認し、EventLogAppender、OutputDebugStringAppender、SmtpPickupDirAppenderの使用有無を記録します。ASP.NETのアプリでは、レイアウトに「%aspnet-request」があるかも確認します。資料には、特定の管理画面での確認方法は書かれていません。
- 対象アプリの運用担当へログ欠落の条件を知らせます。 版と設定が該当したアプリについて、どの情報が失われる可能性があるかを共有します。調査時にログを利用する担当者にも、記録が欠ける条件を伝えます。
- 3.5.0への更新日程を保守担当と決めます。 JVNの推奨版を伝え、更新前の確認と更新作業の予定日を相談します。資料に一律の更新期限は書かれていないため、今日の時点で担当者と日程調整の窓口を決めてください。
- 更新後に版とログ出力を確認します。 修正版への更新を確認したうえで、対象だった出力先で必要な記録が残るかを開発・運用担当と点検し、結果を対応記録に残します。
