Apache Thrift CVE-2026-120135はHigh―Java版の再帰処理を0.24.0で修正
TProtocolUtil.skip()の再帰深度が既定で制限されない問題です。Javaバインディング0.24.0未満が対象で、CVSS v4.0は8.2です。
Apacheの告知日（日本時間）：2026-10-31 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Apacheは2026年10月30日23時13分UTC（日本時間31日）、ThriftのJavaバインディングに関するCVE-2026-120135を告知しました。公式の重要度はimportant、CVSS v4.0は8.2でHighに相当します。0.24.0未満が対象です。
Thriftは異なる言語のプログラム間でデータや処理要求をやり取りするための基盤です。今回の問題はJavaのTProtocolUtil.skip()で、再帰の深さが既定で制限されないことにあります。処理が深く入れ子になる入力により、サービスの可用性が損なわれるおそれがあります。
修正版は0.24.0です。Javaプロジェクトではorg.apache.thrift:libthriftの解決済みバージョンを調べ、直接指定していない場合も推移依存に含まれていないか確認してください。更新後はRPCの送受信と、想定外の入力を受けた場合のエラー処理を確認します。
公表資料は実悪用を確認したとは述べておらず、Java以外のバインディング全体が同じ問題を持つとの説明でもありません。CVSSでは追加の攻撃条件があると評価されています。利用言語と入力経路を照合し、該当するJavaサービスから対応するのが妥当です。
出典と編集について
Apache Software Foundation：CVE-2026-120135: Java TProtocolUtil.skip() does not limit the recursion depth by default ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。