Apache Struts JSON DoS 与 Java 生态补丁节奏

漏洞概述

CVE-2026-73633 影响 Apache Struts：处理 JSON 请求时存在资源消耗问题，攻击者可通过构造特定 JSON 载荷触发拒绝服务（DoS），耗尽 CPU/内存。

DoS 漏洞的现实威胁

DoS 类漏洞常被低估，但现实威胁并不小：

• 成本不对称：攻击者发少量请求即可拖垮服务，防御成本远高于攻击成本；
• 天然放大：JSON 解析、XML 解析等"反序列化"路径是资源消耗重灾区；
• 与 DDoS 叠加：被用于放大规模攻击或作为定向施压手段。

Java 生态的补丁节奏

Java 应用依赖深、版本老、升级慢，是补丁节奏管理的重点对象：

1. 依赖清单化：维护 SBOM，清楚每个组件的版本；
2. 升级窗口常态化：为框架组件预留季度升级窗口，而非等出事再动；
3. 测试前置：Java 升级回归成本高，CI 中预置兼容性测试；
4. 风险分级：网络可达的反序列化/解析组件=高危，优先升级。

小结

Struts 的 DoS 漏洞再次提醒 Java 团队："能跑就不动"的组件策略，在 2026 年已不可持续。把升级变成常规动作，比等一个零日逼你升级要便宜得多。