新バージョンは10月12日に公開、8件の内容は20日に公表

Apache Tomcat（以下Tomcat）は、Javaで書かれたWebアプリケーションを動かすためのサーバーソフトウェアだ。非営利団体のApache Software Foundation（ASF）が開発し、無償で公開している。公式サイトでは、さまざまな業界の大規模なWebアプリケーションで使われていると説明する。

新しいバージョンは、いまもサポートが続く3つの系統ごとに公開された。11.0系は11.0.27、10.1系は10.1.61、9.0系は9.0.123で、公式サイトの記載ではいずれも10月12日の公開だった。ASFの公式Xアカウントは日本時間10月19日正午、3つのバージョンの公開を英語で告知している。

Apache Tomcat 10.1.61, 9.0.123 and 11.0.27 are now available for download: https://t.co/boyAwqChum

Tomcat s an open source software implementation of the Jakarta Servlet, Jakarta Pages, and more. pic.twitter.com/DWvipFhnNb

— The ASF – Apache Software Foundation (@TheASF) October 19, 2026

脆弱性の内容が明らかになったのは、これらの公開から8日後の10月20日だった。日本時間では同日22時28分ごろ、Tomcatの告知用メーリングリスト（登録者に一斉に配信される電子メールの宛先）へ8件の通知が送られた。CVE（脆弱性ごとに振られる世界共通の識別番号）の登録内容も、22時36分から22時54分にかけて順に公開されている。

日本では、JPCERT/CC（JPCERTコーディネーションセンター）とIPA（情報処理推進機構）が共同で運営する脆弱性情報サイト「JVN」が、10月21日に「Apache Tomcatにおける複数の脆弱性（2026年10月20日）」（JVNVU#93110597）を掲載した。8件すべての識別番号を挙げ、詳しい内容はApacheの公表文を参照するよう案内する。JVNの公式Xアカウントも、日本時間10月21日9時31分にこの脆弱性情報の公表を告知した。

[2026/10/21 09:30 公表] Apache Tomcatにおける複数の脆弱性（2026年10月20日） https://t.co/0rLIR1Gqaa

— JVN 脆弱性レポート (@jvnjp) October 21, 2026

「CRITICAL」はCISAの評価、Apacheは最大「Important」

X上では、Tomcatに「最大深刻度CRITICAL」の脆弱性が見つかったとする要約も出回った。だが、開発チームが8件に付けた評価は「Important（重要）」が3件、「Low（低）」が5件。Apacheの4段階の評価で最も高い「Critical（緊急）」は1件もない。

Apacheの基準で「Critical」に当たるのは、遠隔の攻撃者がTomcatに任意のプログラムを実行させられるおそれのある脆弱性だ。「Important」は、データの安全やサーバーの稼働が損なわれるおそれのあるものを指す。Tomcatの場合、遠隔から容易にサーバーを止められる問題や、本来は認証で保護されているファイルを読まれる問題がこれに入る。

9.1という数字は、別の機関による評価だ。米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）は「Vulnrichment」と呼ぶ取り組みで、CVEの登録内容に深刻度などの情報を書き加えている。CISAはImportantの3件に、CVSS（脆弱性の深刻度を0から10の数値で表す評価基準）でそろって9.1を付けた。区分は最も高い「CRITICAL」となる。

CISAが評価に使ったCVSSのバージョンは、3件で異なる。JNDIRealmの1件は最新のCVSS 4.0、HTTP/2とAJPの2件は一つ前のCVSS 3.1で計算された。CVSS 3.1の2件は、ネットワーク経由で、攻撃の難しさが低く、ログインも利用者の操作も必要とせずに攻撃できるという前提での数字だ。影響の大きさは、情報の流出と、サービスを正常に使えなくなることの2つが「高」、データの改ざんが「なし」とされた。CVSS 4.0の1件は、攻撃の成立に特定の条件が要る前提で、情報の流出と改ざんの影響が「高」とされている。

CISAは同時に、対応の優先度を判断するための指標「SSVC」も付けた。3件とも「Exploitation（悪用）」の項目は「none」で、CISAが評価した時点で実際の攻撃に使われたという情報はない。米国立標準技術研究所（NIST）が運営する脆弱性データベース「NVD」は、10月22日時点で3件とも「Awaiting Analysis（分析待ち）」のまま。NVD自身の評価はまだ付いておらず、ページにはCISAの9.1が参考の評価として載る。

評価の違いにかかわらず、Apacheが8件すべてについて勧める対策は修正版への更新だ。

重要度の高い3件は、HTTP/2・AJP・JNDIRealmを使う環境が対象

Importantの3件は、どれもTomcatの特定の機能や設定を使っている場合に影響する。

JNDIRealmで正しいパスワードなしに認証が通る

CVE-2026-101296は、JNDIRealmの脆弱性だ。JNDIRealmは、LDAP（組織の利用者情報を一元管理するディレクトリサービスとやり取りするためのプロトコル）を使い、登録済みの利用者情報でログインを判定するTomcatの機能を指す。認証方式として、SASL（複数の認証方式を共通の手順で使えるようにする枠組み）のうちGSSAPI以外の方式を指定していた場合、攻撃者が正しいパスワードを入力しなくても認証を通過できるおそれがあった。GSSAPIは、Kerberos認証などで使われる方式だ。

対象は11.0系・10.1系・9.0系のほぼすべてのバージョンに及ぶ。サポートが終わった8.5系（8.5.0〜8.5.100）と7.0系（7.0.0〜7.0.109）も影響を受けることが分かっており、こちらには修正が出ていない。Tomcatの開発チームには9月14日に報告があった。

6月29日（Apacheの公表日）には、GSSAPIを指定した設定で同じように正しいパスワードなしに認証できる別の脆弱性（CVE-2026-55957）が公表されていた。CVE-2026-55957は、2025年3月に公開されたバージョンで修正済みだった。今回のCVE-2026-101296は、GSSAPI以外の方式を指定した場合の問題にあたる。

HTTP/2の非同期処理で、利用者間の要求と応答が取り違えられる

CVE-2026-101356は、HTTP/2（WebブラウザーとWebサーバーの間の通信規格HTTPの第2バージョン）での処理に関わる。問題が起きるのは、Webアプリケーションの非同期処理（時間のかかる処理の完了を待たずに、ほかの処理を進められる方式）の途中でエラーが発生した後だ。このときTomcatは内部のオブジェクト（プログラムが処理に使うデータと手順の単位）を正しく再利用できず、別の利用者との間で要求（リクエスト）や応答（レスポンス）を取り違えるおそれがあった。

対象は11.0.22〜11.0.26、10.1.55〜10.1.60、9.0.118〜9.0.122と、比較的新しいバージョンに限られる。TomcatでHTTP/2を使うには、設定ファイル「server.xml」のConnector（Tomcatが通信を受け付ける条件を定める設定項目）に、HTTP/2用の「UpgradeProtocol」を書き加える必要がある。報告は9月16日だった。

AJPで、前の応答の一部が次の要求に渡る

CVE-2026-103119は、AJP（Apache HTTP ServerなどのWebサーバーとTomcatの間で使う通信プロトコル）の脆弱性だ。大きなデータをノンブロッキング方式（書き込みの完了を待たずに次の処理へ進む方式）で書き出す際、応答の本文が、いまの要求と、同じ接続で次に受けた要求とに分かれて送られることがあった。最も起きやすい結果は次の要求の失敗で、前の応答のデータが次の要求への応答として漏れるおそれもあった。

対象は11.0系の11.0.0-M25〜11.0.26だけで、10.1系と9.0系は影響を受けない。「M」はマイルストーン（正式リリース前の開発段階のバージョン）を示す。開発チームへの報告は、HTTP/2の1件と同じ9月16日だった。

評価「Low」の5件

残りの5件はLowの評価だった。TLS 1.3（通信を暗号化するプロトコルの最新バージョン）の接続がときどき失敗する問題、HTTP/2でトレーラー（応答や要求の本文の後に送る追加のヘッダー情報）が前の要求から次の要求へ混入する問題が含まれる。JSP（Javaで動的なWebページを作る技術）のページをJavaのプログラムに変換して実行するのが、TomcatのJSPエンジン「Jasper」だ。Jasperには、JSTL（JSPのページにタグの形で書ける標準の命令の集まり）のタグを独自のプログラムに置き換えて実行する「タグプラグイン」が同梱されている。タグプラグインが使われるのは、Webアプリケーションの設定ファイル「tagPlugins.xml」などに登録した場合だ。このうちリダイレクト用タグ（c:redirect）を置き換えるプログラムでは、リダイレクトの後もページの残りの処理が止まらなかった。

FIPSモード（米国政府の暗号モジュールの基準「FIPS 140」に適合した暗号処理だけを使う動作）を指定していても、有効化に失敗するとFIPSモードではない状態のまま起動を続ける問題もあった。9.0系だけに関わる1件は、APR/Nativeコネクタ（追加のプログラム「Tomcat Native」を通じてOSの機能で通信を処理する方式）でUnixドメインソケット（同じコンピューター内のプログラム同士が通信する方式）を作る際の競合状態（複数の処理が実行されるタイミングによって結果が変わる問題）で、同じコンピューターにログインできる利用者が、本来は使う権限のないそのソケットにアクセスできるおそれがあるというもの。以前のCVE-2026-65183の修正はNIOコネクタ（Java標準の機能で通信を処理する方式）だけを対象にしており、APR/Nativeコネクタには同じ問題が残っていた。

8件の一覧は次のとおりだ。系統ごとに対象の数が異なり、11.0系は7件、10.1系は6件、9.0系は7件が関係する。

CVE番号	Apacheの評価	内容	11.0系の対象	10.1系の対象	9.0系の対象
CVE-2026-103119	Important	AJPで応答の取り違え	11.0.0-M25〜11.0.26	対象外	対象外
CVE-2026-101356	Important	HTTP/2の非同期処理のエラー後に利用者間で要求・応答が取り違えられる	11.0.22〜11.0.26	10.1.55〜10.1.60	9.0.118〜9.0.122
CVE-2026-101296	Important	JNDIRealmでGSSAPI以外のSASL方式のとき正しいパスワードなしに認証できる	11.0.0-M1〜11.0.26	10.1.0-M1〜10.1.60	9.0.0.M1〜9.0.122
CVE-2026-93446	Low	TLS 1.3の接続がときどき失敗する	11.0.0-M21〜11.0.26	10.1.25〜10.1.60	9.0.90〜9.0.122
CVE-2026-88041	Low	HTTP/2のトレーラー情報が次の要求へ混入する	11.0.0-M23〜11.0.26	10.1.27〜10.1.60	9.0.92〜9.0.122
CVE-2026-74049	Low	JasperのJSTL置き換え処理で、リダイレクト後もページの処理が続く	11.0.0-M1〜11.0.26	10.1.0-M1〜10.1.60	9.0.0.M1〜9.0.122
CVE-2026-74048	Low	FIPSモードの有効化に失敗しても起動が止まらない	11.0.0-M14〜11.0.26	10.1.22〜10.1.60	9.0.92〜9.0.122
CVE-2026-80353	Low	APR/NativeコネクタのUnixドメインソケットの権限設定で競合が起きる	対象外	対象外	9.0.47〜9.0.122

使っているバージョンの確かめ方と更新先

最初に確かめたいのは、動かしているTomcatのバージョン番号だ。Tomcatのインストール先にある「bin」フォルダには「version.sh」（Windowsでは「version.bat」）があり、実行するとバージョン番号が表示される。11.0系なら11.0.27以降、10.1系なら10.1.61以降、9.0系なら9.0.123以降のバージョンが更新先になる。

更新を特に急ぎたいのは、次の3つの条件のどれかに当てはまる環境だ。一つ目はJNDIRealmでGSSAPI以外のSASL方式を指定している場合、二つ目はHTTP/2を有効にしたうえで非同期処理を使うWebアプリケーションを動かしている場合となる。三つ目は、11.0系でAJPのConnectorを設定している場合だ。Apacheの公表文は回避策を示しておらず、8件のいずれについても修正済みのバージョンへの更新を勧めている。

Linuxディストリビューション（OSの中核となるプログラム「Linuxカーネル」に各種のソフトウェアを組み合わせ、まとめて配布されるOS。DebianやUbuntuなど）が用意したパッケージ（インストールしやすい形にまとめたソフトウェア）でTomcatをインストールした場合は、確かめ方が異なる。パッケージのバージョン番号はApacheの番号と同じとは限らず、対応状況は各ディストリビューションの開発元が個別に公開している。たとえばDebianは、CVE番号ごとにパッケージの対応状況をセキュリティ情報のページに載せている。こうした環境では、使っているディストリビューションの情報で確かめる必要がある。

サポートが終わった系統を使い続けている場合は、より新しい系統への移行が欠かせない。8.5系は2024年3月31日、10.0系は2022年10月31日にサポートを終えた。10.0系については、2022年10月31日より後に報告された脆弱性の確認も修正もしないと公式に案内している。JNDIRealmの1件と、JasperのJSTL置き換え処理の1件は、8.5系と7.0系も影響を受けることが分かっている。

9.0系も期限が近づく。公式サイトのトップページは、9.0系のサポート終了日を2027年3月31日と告知している。その後は延長サポート用の9.1系が始まる予定だが、9.1系ではAPR/Nativeコネクタを使えない。9.0系から10.1系以降へ移る場合は、Java EE（企業向けのアプリケーションを作るためのJavaの標準仕様）から後継のJakarta EEへの移行に伴い、アプリケーションのプログラムの修正がほぼ確実に必要になると公式サイトは注意を促す。動作に必要なJavaのバージョンも系統で異なり、11.0系はJava 17以降、10.1系はJava 11以降、9.0系はJava 8以降が条件だ。

9月に続く修正、Javaの更新も重なる

Tomcatの脆弱性は、9月にもまとめて公表されていた。9月23日に明らかになったのは、9月15日公開の11.0.26・10.1.60・9.0.122で修正した12件で、このうち4件がImportantだった。WebSocket（WebブラウザーとWebサーバーの間で双方向の通信を続ける規格）に関わるものが4件、HTTP/2に関わるものが3件含まれる。

Tomcatを動かすには、Javaの実行環境が必要になる。Tomcatを更新しても、Java自体のバージョンは変わらない。Javaについては、米Oracleが米国時間10月20日（日本時間21日）、Oracle Java SEの定例のセキュリティ更新で55件の脆弱性を修正した。IPAは10月21日に早急な更新を呼びかけた。米国時間21日には、この更新版も対象に含む深刻度9.1の脆弱性が別に公表されている。

関連記事：Oracle Javaに55件の脆弱性、IPAが早急な更新を呼びかけ　更新版にも深刻度9.1の脆弱性が判明

ソースコードの管理と共同開発に使う「GitLab」でも、米GitLab社が米国時間10月21日、CVSSで最高の10.0と評価された脆弱性を修正したバージョンを公開した。2014年の7.0以降の、自社サーバーで動かす自己管理型のほぼ全バージョンが対象で、10月12日に更新したサーバーも再度の更新が必要になる。

関連記事：GitLabにCVSS 10.0の緊急脆弱性、約12年分の自己管理版が対象　10月12日に更新したサーバーも再更新が必要

サーバーで動くソフトウェアの修正は、ほかにも続いている。JavaScriptの実行環境「Node.js」の開発プロジェクトは米国時間10月21日、22・24・26の3系列に向けたセキュリティ更新を公開し、脆弱性10件を修正した。このうち4件は深刻度「高」とされ、圧縮データの解凍処理には外部から不正なプログラムを実行されるおそれがあった。

関連記事：Node.js、22・24・26系に脆弱性10件のセキュリティ更新　深刻度「高」は4件、圧縮データの展開で遠隔からコード実行のおそれ

Webサイトを動かすプログラム言語「PHP」でも、CVSSで9.2と評価された脆弱性2件を修正したバージョンが日本時間10月21日夜に公開された。修正版の公開前に脆弱性の情報が外部へ漏れたこともあり、国内の大手Webサービスが相次いで緊急メンテナンスに入った。

関連記事：【PHP脆弱性パニック】「php2shell」とは　大手Webサービスが緊急メンテ、高市総理もコメントする事態に「何が起きてる？」「個人は何をするべきなの？」にわかりやすく解説

Tomcatで動かしているWebサービスの担当者は、TomcatとJavaの両方の対応状況を確かめることになる。CISAの評価では、重要度の高い3件に実際の悪用の情報はまだない。それでも、Apacheが勧めるとおり、使っている系統の修正版への更新を早めに済ませておきたい。

[文/構成 by MediaDogs編集部]