Tomcatを使うWebサービスの管理者は、JNDIRealmの認証方式とHTTP/2・AJPの利用を先に確認してください。Tomcatが入っているだけで8件すべての条件に当てはまるわけではありません。一方、条件が不明なものを対象外にせず、修正版への更新計画を立てます。
Apache TomcatはJavaのWebアプリを動かす基盤です。2026年10月20日に8件の脆弱性が公表され、JVNは21日に案内しました。公式の修正版見出しの日付は12日です。「修正版の公開日」「脆弱性の公表日」「日本語ニュースの掲載日」を区別する必要があります。
先に結論：使っている系列の修正版へ
| 系列 | 今回の修正版 | 判断の注意 |
|---|---|---|
| 11 | 11.0.27 | 8件のうち11系の公式一覧にあるものが対象 |
| 10.1 | 10.1.61 | 11系だけのAJP問題と混同しない |
| 9 | 9.0.123 | APR／Unix Domain Socketの問題も確認 |
根拠は11系、10.1系、9系の公式一覧です。これは上流Tomcatの修正版です。OSや商用製品が修正をバックポートしている場合は、その配布元のCVE対応表で判定します。サポート終了系列を、表にないから安全とは判断しません。
8件は、異なる機能で起きる問題
| CVE | 内容・確認する条件 | Apacheの評価 |
|---|---|---|
| CVE-2026-101296 | JNDIRealmでGSSAPI以外のSASLを使う認証。正しいパスワードの検証を通らず認証され得る | Important |
| CVE-2026-101356 | HTTP/2と非同期Servlet処理。利用者間でリクエストや応答が混ざり得る | Important |
| CVE-2026-103119 | 11系のAJPで大きな非ブロッキング書き込み。次の応答へデータが混ざり得る | Important |
| CVE-2026-93446 | TLS 1.3接続の後処理不備による断続的な接続失敗 | Low |
| CVE-2026-88041 | HTTP/2のトレーラー情報が後続リクエストへ残る | Low |
| CVE-2026-74049 | JasperのJSTL c:redirectプラグイン。転送後もページ処理が続く | Low |
| CVE-2026-74048 | OpenSSL-FFMでFIPS有効化に失敗しても非FIPSのJSSEで動作が続く | Low |
| CVE-2026-80353 | 9系のAPRでUnix Domain Socket作成時の競合。ローカルの権限のない利用者によるアクセス | Low |
上表は各系列の公式説明を要約しています。Important／LowはApache自身の影響評価で、CVSSの数値ではありません。本稿では数値評価を独自計算していません。確認した公式一覧は実際の攻撃被害の発生を示す一覧でもなく、今回の8件の実悪用状況はここでは未確認です。
認証と応答の問題は、どこを点検するのか
JNDIRealmはディレクトリサービスと連携する認証の仕組みです。「LDAPを使っている」だけでは判定できず、Realmの種類と設定されたSASL方式を確認します。HTTP/2は一つの接続で複数のやり取りを扱います。処理用の入れ物を再利用するときに前の利用者の情報が残ると、応答が別の相手へ渡る危険が生まれます。
| 主要CVE | 11系の影響範囲 | 10.1系の影響範囲 | 9系の影響範囲 |
|---|---|---|---|
| 101296 | 11.0.0-M1〜11.0.26 | 10.1.0-M1〜10.1.60 | 9.0.0.M1〜9.0.122 |
| 101356 | 11.0.22〜11.0.26 | 10.1.55〜10.1.60 | 9.0.118〜9.0.122 |
| 103119 | 11.0.0-M25〜11.0.26 | 今回の同CVEの掲載なし | 今回の同CVEの掲載なし |
M付きは正式版前のマイルストーン版を含む表記です。上表は主要3件だけの範囲であり、他の5件の影響範囲へ流用しません。各CVEの開始版は公式一覧で個別に確認してください。
単体サーバーだけでなく、アプリに入ったTomcatも探す
- 1構成管理台帳、コンテナの部品表、Maven／Gradleの依存関係からTomcatを探す。Spring Bootなどに同梱されたものも対象にする。
- 2配布元と実行中のTomcatの版を記録する。開発PCの依存関係だけで本番を判定しない。
- 3Realm、認証方式、HTTP/2、AJP、Jasper、FIPS、APR／Unix Domain Socketの使用有無を担当者に確認する。
- 4互換性と復旧手順を確認し、対応系列の修正版または配布元の修正を適用する。組み込み版は管理しているフレームワークの対応手順に従って再ビルドする。
- 5全インスタンスを入れ替え、起動時の版・ログイン・セッション・通常の並列アクセス・エラーログを確認する。
認証方式やコネクターを不用意に切り替えると、ログインや通信そのものが止まるおそれがあります。利用していない機能の無効化や公開範囲の制限は露出を減らす提案ですが、8件すべての代替パッチではありません。複数台構成では更新済みの一台だけを確認せず、全台の実行版を証拠として残してください。一般の利用者は自分でサーバーを変更せず、サービス運営者に対応状況を確認します。
LLMに依頼する、根拠付きの点検
以下は編集部が作成した棚卸し用の指示文です。LLMの回答は安全性の保証にはなりません。未確認項目を残し、担当者が公式資料と実際の稼働状態を照合してください。
あなたは防御目的の運用点検担当です。権限のある自社環境について、提供した匿名化済み台帳と公式勧告だけで読み取り専用の棚卸しをしてください。 Tomcatの単体導入と組み込み導入を探し、JNDIRealmの非GSSAPI SASL、HTTP/2非同期Servlet、AJP、Jasper、FIPS、APRの使用条件をCVEごとに照合してください。 各項目を「対象」「対象外（根拠付き）」「未確認」に分け、根拠URL・配布元・稼働版・条件・担当者・修正版または未確認事項・確認期限を表にしてください。版だけで安全と断定しないでください。秘密鍵、トークン、パスワード、個人情報を要求せず、設定変更や攻撃再現、外部へのスキャンは実行しないでください。更新案と回帰確認案は作成しても、適用は担当者の判断に分けてください。
点検指示文をダウンロード。基本の進め方は脆弱性のトリアージも参照してください。
確認日：2026年10月22日。公開された一次資料を確認した解説であり、編集部がこの脆弱性の攻撃やパッチ適用を実環境で再現したものではありません。手順のうち優先順位・台帳・回帰確認は編集上の提案です。