Apache Tomcatに8件の脆弱性、CRITICAL含む
Apache Software FoundationがApache Tomcatの9・10・11系に及ぶ8件の脆弱性を公開。更新版で修正済み。
Apache Software Foundationは、Apache Tomcatのバージョン9、10、11に影響する8件の脆弱性を公開した。forest.watch.impress.co.jpが伝えている。複数の脆弱性には、CVSS 3.1で最大9.1のCRITICAL評価が付いている。
修正版はApache Tomcat 9.0.123、10.1.61、11.0.27で、これらのバージョンへ更新することで脆弱性は解消される。該当バージョンを利用している場合は速やかな更新が求められる。
個別の脆弱性
CVE-2026-101356は、非同期処理中のエラー発生後にHTTP/2のリクエストとレスポンスが入れ替わる問題で、Tomcat 11.0.22から11.0.26、10.1.55から10.1.60、9.0.118から9.0.122が影響を受ける。
CVE-2026-101296は、GSSAPI以外のSASLメカニズムにおいてJNDIRealmのバインド認証情報の検証が失敗時に安全側に倒れず通過してしまう問題で、Tomcat 11.0.0-M1から11.0.26、10.1.0-M1から10.1.60、9.0.0.M1から9.0.122が対象となる。
CVE-2026-103119はAJPのレスポンスの入れ替わりに関する問題で、影響を受けるのはTomcat 11.0.0-M25から11.0.26のみ。なお、Apache Tomcat 9.0系は2027年3月31日にサポート終了を迎える。
よくある質問
修正版はどのバージョンですか？
Apache Tomcat 9.0.123、10.1.61、11.0.27です。これらへ更新することで8件の脆弱性が修正されます。
最も深刻な脆弱性の深刻度は？
CRITICAL評価の脆弱性が含まれており、CVSS 3.1での最大スコアは9.1です。
Apache Tomcat 9.0はいつまで使えますか？
Apache Tomcat 9.0系のサポートは2027年3月31日に終了します。