Java向けWebフレームワークApache Wicketが19件の脆弱性を公表した。専用ファイルアップロード機能に関する2件は、開発元CNAがともにCVSS v4.0 8.3（HIGH）と評価。設定した容量制限が効かない問題や、メモリの過大確保によるサービス停止リスクがある。修正版は提供済みだが、影響するのは特定のアップロード機能を利用するアプリケーションだ。
30秒でわかる / THE SIGNAL
Java向けWebフレームワークApache Wicketが19件の脆弱性を公表した。専用ファイルアップロード機能に関する2件は、開発元CNAがともにCVSS v4.0 8.3（HIGH）と評価。設定した容量制限が効かない問題や、メモリの過大確保によるサービス停止リスクがある。修正版は提供済みだが、影響するのは特定のアップロード機能を利用するアプリケーションだ。
19件の公表と、今回確認した2件の位置付け
Apache Wicketのプロジェクト管理委員会（PMC）は2026年11月1日、19件の脆弱性について公式勧告をまとめて公表した。8.x、9.x、10.xの影響する系列に対して8.20.0、9.25.0、10.12.0が修正先として案内されている。これらのリリース自体は10月29日から31日に公開済みで、11月1日に初めて19件の詳細が一括告知された。本稿では、そのうちApache CNAの数値評価と影響範囲が整合するアップロード関連2件を扱う。残る17件を一律HIGHと判定するものではない。
CVE-2026-84170：設定したアップロード容量制限を迂回
`CVE-2026-84170`は、`FileUploadToResourceField`のために別途設置するアップロード用リソースが、リクエストに含まれる値をアップロード容量・ファイル数の制限として受け入れる問題だ。アプリケーションが設定した上限が適用されず、ディスクやメモリを過剰に消費する可能性がある。Apache CNAはCVSS v4.0 8.3（HIGH）と評価。影響版はWicket 9.14.0～9.24.0、10.0.0～10.9.1で、修正先は9.25.0または10.12.0。専用リソースを使用しない通常の`Form`／`FileUploadField`のアップロードは、このCVEの対象外と明記されている。
CVE-2026-83594：アップロード結果の値でメモリを過大確保
`CVE-2026-83594`は、同じ専用アップロード機能で、クライアントから受け取るアップロード結果の情報が実際の保存ファイルと結び付けられず、アプリケーションが`UploadInfo#get()`を呼ぶ際に申告されたサイズを基にメモリを確保する問題だ。小さなリクエストから大きなヒープ割り当てを誘発し、サービスの可用性を損なう恐れがある。Apache CNAのCVSS v4.0は8.3（HIGH）。影響版は9.14.0～9.24.0、10.0.0～10.11.0で、修正先は9.25.0または10.12.0。該当コンポーネントの利用に加え、アプリ側が`UploadInfo#get()`を呼ぶ条件がある。一般的なフォームアップロード全体が危険という意味ではない。
運用担当者が確認すべきことと、まだ分からないこと
まずMaven等の依存関係からWicketの系列とバージョンを調べ、`FileUploadToResourceField`または`FileUploadResourceReference`の利用有無を確認する。該当する場合は、Apacheが案内する9.25.0または10.12.0への更新を優先する。9.xと8.xは最終リリース後にサポート終了となったため、パッチ適用だけでなくサポート中の系列への移行計画も必要だ。容量監視やアクセス制御の点検は有用だが、更新の代替にはならない。
公表資料からは、今回の2件について実際の攻撃・被害発生を確認できない。CISA KEVの確認版は10月30日付で、11月1日の勧告より古い。したがって「悪用されていない」と断定せず、公式情報の更新を継続確認する。