Apache Tomcatの脆弱性8件（10月20日公表）、応答の取り違えや認証回避のおそれ。使い方ごとの対象と修正版

ASFのセキュリティ告知は、8件のうち3件を「Important」、5件を「Low」としています。ASFはCVSSを付けていません。CVEの記録では、米CISAが補足としてCVSSを付けていて、Importantの3件はいずれも9.1です（CVE-2026-101296はCVSS 4.0、他の2件はCVSS 3.1）。[1][2][3][4][5]

どの件も、該当するかは使っている機能で決まります。件ごとの内容と、該当する使い方は次のとおりです。範囲は告知の記載で、系列によって対象外のものがあります。[1][2][3]

単体のTomcatでは、HTTP/2はコネクタの中にHttp2Protocolを書いたときに有効になります。配布物のserver.xmlでは、HTTP/2を使う例とAJPのコネクタはどちらもコメントになっています。[6][7]

Spring Bootの組み込みTomcatでは、HTTP/2はserver.http2.enabledで有効にし、初期値は無効です。[8]

CVE-2026-101356は版の範囲が新しく、たとえば9.0系では9.0.118〜9.0.122だけが対象です。古い版はこの件の対象外でも、JNDIRealmの件（CVE-2026-101296）は全系列が対象です。この件はauthentication属性にGSSAPI以外のSASLの方式を指定している場合が該当します。[1][9]

2026年11月1日時点で、米国のCISAが公開している「悪用が確認された脆弱性の一覧（KEV）」には載っていません。

PoCの公開は、ASFの告知とCVEの記録では確認できていません。CVEの記録のCISAの評価（SSVC）では、8件とも悪用は「none」です。

修正版は10月12日にASFから公開され、Maven Centralにも置かれています。脆弱性の公表（10月20日）より前に出ているので、すでに11.0.27・10.1.61・9.0.123以降に上げていれば、8件の修正は入っています。必要なJavaの版は系列ごとに決まっていて、同じ系列の中の更新では変わりません。[10][11]

CVEの記録は、サポートが終わった8.5系・7.0系も、JNDIRealmの件とJSTLの件の対象だとしています。修正版は出ないので、サポート中の系列へ移ります。[4]

1. 単体のTomcatは、版を表示して系列と番号を確かめます（Windowsではversion.bat）。

   ターミナル

   $CATALINA_HOME/bin/version.sh

2. アプリに組み込んだTomcat（Spring Bootなど）は、依存関係から版を確かめます。Gradleでは./gradlew dependencyInsight --dependency tomcat-embed-coreです。

   ターミナル

   mvn dependency:tree -Dincludes=org.apache.tomcat.embed

3. server.xmlで、HTTP/2・AJP・JNDIRealm・Unixドメインソケット・FIPSモードの設定があるかを確かめます。コメントの中の行も表示されるので、有効な設定かを見分けます。

   ターミナル

   grep -n -E "Http2Protocol|AJP/1.3|JNDIRealm|unixDomainSocketPath|FIPSMode" $CATALINA_BASE/conf/server.xml

4. Spring Bootでは、HTTP/2を有効にしているかを設定ファイルで確かめます。

   ターミナル

   grep -rn "server.http2.enabled" src/main/resources/

5. Spring Bootの3.5系で、すぐに4系へ上げられない場合は、組み込みTomcatの版を指定します。指定後はテストで動作を確かめます。

   pom.xml

   <properties>
     <tomcat.version>10.1.61</tomcat.version>
   </properties>

6. 更新して再起動したあと、もう一度版を確かめます。

   ターミナル

   $CATALINA_HOME/bin/version.sh

ASFの告知に、更新以外の回避策はありません。表の使い方に当てはまらなければその件の経路から外れますが、これは当社の整理で、ASFが示した回避策ではありません。JNDIRealmの件は認証に関わるので、該当する設定がある場合は更新を先にします。[5]

Spring Bootは、使うTomcatの版を依存関係の一覧（spring-boot-dependencies）のtomcat.versionで決めています。Maven Centralの記載では、10月22日に公開された4.0.9と4.1.2が11.0.27を使います。[12]

3.5系の最後の公開版3.5.16は10.1.55を使っていて、CVE-2026-101356とCVE-2026-101296の範囲に入ります。3.5系の無償サポートは2026年6月30日に終わっています。4系へ上げられない間は、tomcat.versionで10.1.61を指定できますが、Spring Bootの文書は、版を上書きすると互換性の問題が起きることがあると注意しています。[12][13][14]

ASFは、9.0系のサポートを2027年3月31日で終えると告知しています。その後は脆弱性の報告が9.0系に照らして確かめられなくなります。最後の9.0系の公開は3月31日の少し前の予定です。[15]

同じ時期に9.1系の公開が始まり、2030年12月31日まで続きます。9.0系との違いは小さく、HTTP・HTTPS・AJPのAPR/Nativeコネクタが無くなる点です。APR/Nativeコネクタを使っている場合は、NIOのコネクタへの移行が勧められています。CVE-2026-80353はこのAPR/Nativeコネクタの件です。[3][15]

脆弱性の公表・更新一覧で、Java / JVMの関連情報を調べることもできます。