Tomcat脆弱性の対応｜2026年10月の8件と更新手順

公開日2026年11月8日
約10分で読めます

目次9

2026年10月20日、Webアプリを動かすソフトウェア「Apache Tomcat（アパッチ・トムキャット）」の脆弱性8件が公開されました。翌21日にはJVNも「JVNVU#93110597」として取り上げています。修正済みの版は11.0.27、10.1.61、9.0.123です。

この記事では、Javaで作られた業務システムを持つ会社に向けて、対象の版、設定によって影響が変わる点、更新の手順を説明します。Tomcatはパッケージ製品やSpring Bootアプリの中に組み込まれていることも多いため、「うちは使っていない」と思っている会社も確かめてみてください。

この記事のポイント

8件のうち3件はApacheの評価で「Important（重要）」です。LDAP認証の抜け道と、HTTP/2やAJPで別の人の応答が混ざるおそれのある問題です。
3件は特定の設定や版でのみ影響します。自社の設定を確かめることが大切です。
対応は、11.0.27、10.1.61、9.0.123以降への更新です。
8.5や7.0などサポートが終わった版にも影響する問題があります。修正版は提供されません。

8件

公開された脆弱性（重要3件・低5件）

9.1

CISAが付けた最も高いCVSS（2件）

10月12日

修正版の公開日（脆弱性の公開は20日）

ことばの説明

Tomcat＝Javaで作られたWebアプリを動かすためのソフトウェアです。業務システムで広く使われています。

脆弱性（ぜいじゃくせい）＝システムの"弱いところ"。悪い人に見つかると、そこから攻撃されるおそれがあります。

LDAP（エルダップ）＝社員のIDやパスワードをまとめて管理する仕組みでよく使われる通信の方式です。

HTTP/2・AJP＝Webサーバーやブラウザとやり取りするための通信の方式です。

どんな脆弱性？どれを急ぐべき？

重要度の高い3件は次のとおりです。どれもすべてのTomcatで起きるわけではなく、版と設定によって影響が変わります。

CVE番号	起こりうること	影響する条件
CVE-2026-101296 Important	正しいパスワードがなくてもログインできてしまう	JNDIRealm（LDAPなどと連携する認証）で、GSSAPI以外のSASL認証を設定している場合
CVE-2026-101356 Important	HTTP/2の非同期処理でエラーのあと、別の利用者とリクエストや応答が入れ替わるおそれ	HTTP/2を使い、非同期処理のサーブレットがある場合。11.0.22〜26、10.1.55〜60、9.0.118〜122
CVE-2026-103119 Important	AJPの大きな応答が次のリクエストにまたがり、前の応答のデータが次の人に漏れるおそれ	AJPを使っている11.0系のみ（11.0.0-M25〜11.0.26）

Tomcatに同梱されている server.xml では、AJPのコネクタとHTTP/2の設定はコメントアウトされています。つまり、はじめの設定のままなら、AJPとHTTP/2の問題は動きません。ただし、設定を変えて使っている会社は少なくありません。自社の設定を見ずに「影響なし」と決めないようにしましょう。

残りの5件はApacheの評価で「Low（低）」です。

CVE-2026-93446：TLS 1.3の接続がときどき失敗することがある
CVE-2026-88041：HTTP/2のトレーラー情報が次のリクエストに混ざる
CVE-2026-74049：JSPの <c:redirect> のあとも、ページの残りの処理が続いてしまう
CVE-2026-74048：FIPSモードの有効化に失敗しても、そのまま起動してしまう
CVE-2026-80353：UNIXドメインソケットの権限設定に関する問題（一覧では9.0系に記載）

悪用は確認できていません。ただし、評価が分かれています

Apacheの告知とJVNに、実際の攻撃の記載はありません。米国CISAの「悪用が確認された脆弱性」の一覧（2026年11月6日版）にも、今回の8件は見当たりません。

一方で、CISAはCVEの記録の中で、CVE-2026-101356とCVE-2026-103119にCVSS 9.1を付けています。Apacheの評価「Important」より高い数字です。設定が当てはまるなら、優先して対応しましょう。

なお、Tomcatでは別の脆弱性（CVE-2026-34486）が2026年8月にCISAの一覧へ追加されています。修正が出たら早めに反映する体制が大切です。

対象の版と、移る先

系統	更新する版	使えるJava	補足
11.0	11.0.27以降	17以降	今回の8件のうち7件が対象
10.1	10.1.61以降	11以降	今回の8件のうち6件が対象
9.0	9.0.123以降	8以降	サポート終了は2027年3月31日より早くはならない見込み（Apacheの案内）
8.5・7.0など	修正版なし	―	CVE-2026-101296などに影響。サポートされている版へ移行

※8.5系のサポートは2024年3月31日に終わっています。CVEの記録によると、CVE-2026-101296とCVE-2026-74049は8.5系と7.0系にも影響します。

※9.0系を使っている場合は、Apacheが案内する9.1系の予定もあわせて確かめておくと、次の計画が立てやすくなります。

確かめて、対応する5ステップ

Tomcatがどこで動いているかを洗い出す
サーバーに直接入れたもののほか、パッケージ製品、Dockerのイメージ、Spring Bootアプリに組み込まれたもの（tomcat-embed-core）も確かめます。
版を確認する
サーバーでは bin/version.sh（Windowsは version.bat）で確かめられます。アプリに組み込まれている場合は、ビルド時の依存関係を見ます。
設定を確認する
server.xml などで、JNDIRealmの認証方式、HTTP/2（UpgradeProtocol）、AJPのコネクタを使っていないかを確かめます。
検証環境で更新を試す
同じ系統の中での更新なら、影響は比較的小さくて済みます。ログイン、ファイルのアップロード、外部との連携などの主な機能を試してから本番に反映しましょう。
Javaの版もあわせて確認する
Tomcatの更新のついでに、Javaの版も見直します。「Java脆弱性対策」も参考にしてください。