#Java

Fastjson 1.2.68〜1.2.83でCVE-2026-16723が公開され、攻撃観測も出た。Spring Boot executable fat-JAR、SafeMode無効、Object/Map型フィールドの有無まで確認する。

Spring BootとTomcat前提で、Request SmugglingとRequest Splittingの境界を確認する。プロキシとバックエンドのHTTP/1.1フレーミング差分、CRLFヘッダ注入、既存のaxios CRLF記事との違いまで扱う。

Apache POIでOOXMLの骨格を作り、sheetDataだけを自前ストリーミングするハイブリッド手法。XLSXの互換性と大量セル書き込みの速度を別問題として扱う。

13年間コードベースに潜んでいたApache ActiveMQ ClassicのRCE脆弱性CVE-2026-34197がCISA KEVに追加。Jolokia API経由のMBean操作でVMトランスポートとSpring XMLを連結し、リモートコマンド実行に至る。CVE-2024-32114と組み合わせれば未認証RCEとなる。影響は5.19.4未満および6.0.0〜6.2.2。

JavaOne 2026でOracleが発表したProject Detroit。JavaのビルドにV8とCPythonを直接組み込み、javax.script APIで呼び出す構想をOpenJDKに提案した。Nashorn廃止、GraalVMのJavaサイクル離脱を経て、なぜ今「自前実装」ではなく「ネイティブランタイム組み込み」に舵を切ったのか。