Tomcatに脆弱性。Javaの更新だけで大丈夫？

Apache Tomcatの複数の脆弱性が、公式日付10月20日に公表されました。Java本体とTomcatは、別に確認します。最初の一歩は、全部の専門用語を覚えることではなく、自分の環境でTomcatを使っているか調べることです。

30秒のまとめ動画。くわしい内容と図解は、下の「Xで記事を読む」から。

30 sec

30秒でわかる、この速報

いつ: 2026年10月20日公表。公式の修正済み欄の日付は10月12日
だれが: Apache Software FoundationのTomcatプロジェクト
なにを: 9系・10.1系・11系の掲載を重複なしで数えると、合計8件の脆弱性
どこに関係する: Tomcatを使うWebシステム、組み込みアプリ、コンテナ、他社製品など
お金の話: Tomcat本体の更新版に購入代金は不要。調査・検証・保守の費用は別
なにをする: 使用場所と条件を確認し、対応する修正版を適用して、稼働している版を確かめる

Points

おさえるところ

9系・10.1系・11系の掲載を重複なしで数えると、合計8件の脆弱性。8件すべてが全系列に当てはまるわけではなく、9系の修正済み欄は7件、10.1系は6件、11系は7件
公式に示された修正版は、9系が9.0.123、10.1系が10.1.61、11系が11.0.27。公式の脆弱性一覧は、修正済み欄に10月12日、各問題の説明に10月20日公表と記載している
認証問題はCVE-2026-101296。Tomcat開発者の告知には「allowed attackers to authenticate without providing the correct password.」とある。条件は、JNDIRealmでGSSAPI以外のSASL認証方式を使う設定。対象には9.0.122まで、10.1.60まで、11.0.26までの各系列が含まれる
認証問題のCVSS 4.0は、CVE公式記録のCISA追加評価で9.1、CRITICAL。Apache自身の評価はImportantで、評価した主体と方式が違う。9.1は被害の確率が91%という意味ではない
HTTP/2の混在はCVE-2026-101356。利用者同士で要求や応答が混ざるおそれがある。影響範囲は、9.0.118〜9.0.122、10.1.55〜10.1.60、11.0.22〜11.0.26
AJPの応答混在はCVE-2026-103119。公式が挙げる影響版は11.0.0-M25〜11.0.26で、9系・10.1系にもあるとは言えない
ほかにTLS 1.3の接続失敗、HTTP/2の末尾ヘッダーの混入、Unix Domain Socketの権限設定、JSTLの画面転送処理、FIPSモードの問題があり、これら5件のApache独自評価はLow
Tomcatは単体で入っている場合も、アプリに組み込まれている場合もある。TomcatとApache HTTP Serverも別のソフト。Javaを更新しただけでは、Tomcatの修正確認は終わらない
Tomcat本体の修正版に購入代金は不要。調査・検証・保守の費用は別。他社製品に同梱されている場合は、製品としての更新方法を提供元へ確認する
単体で入れたTomcatの版は、Unix系なら「./bin/version.sh」、Windowsなら「bin\version.bat」で確認できる。「java -version」で表示されるのは、選ばれたJavaの版で、Tomcatの修正版が稼働している証拠にはならない