Apache Tomcat に、HTTP/2 や AJP、認証まわりの脆弱性3件が公開されています。Apache Software Foundation（ASF）の公開は2026年10月20日です。Java の Web アプリを Tomcat で動かしている情シスや運用担当に関係する話で、修正版は 9.0.123、10.1.61、11.0.27 です。Tomcat の公式サイトはApache Tomcat（Apache 公式）で、11 系の入手先はTomcat 11 のダウンロードページです。
Tomcat の脆弱性、結論は「版の確認」
結論から言うと、Tomcat を使っているサーバーは、動いている版を確認して、修正版に更新する予定を立てるのがおすすめです。ASF のセキュリティページと JVN には、更新以外の回避策や悪用状況の記載はありません（Tomcat 11 のセキュリティページ）。
JVN は10月21日に、この件を JVNVU#93110597 として掲載しています（JVN）。
Important の3件の中身と対象バージョン
ASF の評価は、ここで扱う3件ともImportantです。
| CVE | 内容 | 対象バージョン | 修正版 |
|---|---|---|---|
| CVE-2026-101356 | 非同期サーブレットでエラーが起きた後の HTTP/2 処理で、ユーザー間でリクエストやレスポンスが取り違えられる可能性 | 11.0.22〜11.0.26、10.1.55〜10.1.60、9.0.118〜9.0.122 | 11.0.27、10.1.61、9.0.123 |
| CVE-2026-101296 | JNDIRealm を GSSAPI 以外の SASL 機構で構成していると、正しいパスワードなしで認証できた | 11.0.0-M1〜11.0.26、10.1.0-M1〜10.1.60、9.0.0.M1〜9.0.122 | 11.0.27、10.1.61、9.0.123 |
| CVE-2026-103119 | AJP の応答の取り違え。大きな非ブロッキング書き込みの後、応答本文が次のリクエストに分かれる可能性 | 11.0.0-M25〜11.0.26（11 系のみ） | 11.0.27 |
出典は、11 系、10 系、9 系の ASF セキュリティページです。CVE-2026-103119 は、10 系と 9 系のページには載っていません。
同じ修正版には、この3件以外の脆弱性も含まれます。Low のもの（TLS 1.3 接続失敗の可能性、HTTP/2 トレーラーヘッダーの相互汚染など）を含め、修正は 9.0.123 で7件、10.1.61 で6件です。JVN は同じ発表の CVE を8件掲載しています。「3件だけ直せばよい」ではなく、修正版に上げると全部まとめて直ります。
条件が付く点も大事です。CVE-2026-101296 は、JNDIRealm を使い、しかも GSSAPI 以外の SASL 機構にしている場合の話です。CVE-2026-103119 は 11 系の AJP が対象です。全員が同じ影響を受けるわけではないので、まず自分の構成を見ます。
ASF は Important、CVSS は 9.1 CRITICAL
見出しや報道には「CRITICAL」の文字が出ます。ここは分けて読むとよいところです。
- ASF の評価: 3件とも Important です
- NVD の CVSS: 3件とも 9.1（CRITICAL）です。CVE-2026-101356 と CVE-2026-103119 は CVSS v3.1、CVE-2026-101296 は CVSS v4.0 の値です（NVD の API で確認）
NVD に載っている CVSS は、ASF 自身ではなく、別の情報源（Secondary）が付けた値です。2つは別の物差しなので、どちらかが誤りというより、見ている観点が違います。現場では、数字の高い方を前提にして更新の優先度を決めておくと、後で慌てません。
修正版は10月12日に出ていた
修正版 9.0.123、10.1.61、11.0.27 のリリース日は、Tomcat 公式サイトで2026年10月12日と確認できます。脆弱性の公開（10月20日）は、その8日後です。つまり、10月12日以降に最新版へ更新していれば、すでに修正版になっていることがあります。
一方で、Tomcat 9.0.x のサポートは2027年3月31日までと案内されています。9 系を使っている環境は、この機会に今後の移行先も考えておくとよいでしょう。
更新までにやっておきたいこと
おすすめの順に並べます。
- Tomcat の稼働箇所と版を洗い出す: 本番、検証、組み込みで使っている業務アプリまで含めて、どこで何の版が動いているかを一覧にします
- 構成を確かめる: HTTP/2 を有効にしているか、AJP コネクタを使っているか、JNDIRealm を GSSAPI 以外の SASL で構成しているかを見ます
- 修正版を検証環境で試す: 9.0.123、10.1.61、11.0.27 のうち、使っている系統の版で動作確認します
- 更新の日時を決める: 再起動を伴うので、止められる時間帯と連絡先を先に決めます
- 更新後の確認項目を決める: 画面の表示、ログイン、HTTP/2 の通信など、見るところを決めておきます
バイナリのパッチは提供されず、ソースにパッチを当てる場合はビルドの手順に従う、と公式のページに書かれています。ふつうは、修正版へ更新するのが近道です。
現場で起きそうなこと
これは実際にあった話ではなく、ありがちな想定です。
「Tomcat は動いているから触らない」という機械が、誰も版を把握していないまま残っていて、いざ脆弱性が出ると、まず台帳探しから始まる、という流れです。冷蔵庫に何が残っているか分からないまま献立を考えるようなもので、棚卸しを先に済ませておくと、更新の判断が速くなります。
ほかの技術ネタは、技術ネタの記事一覧からどうぞ。2026年10月22日時点の、ASF（10月20日公開）と JVN（10月21日公開）の情報にもとづきます。
ITもごはんも、腹八分目が長続きのコツ！
コメント