Apache Tomcatに脆弱性8件 — HTTP/2の混線と認証の抜けを含む、11.0.27/10.1.61/9.0.123への更新が対策（2026年10月21日公表）
この記事のポイント: JVNは2026年10月21日、Apache Tomcatに計8件の脆弱性（HTTP/2のリクエスト混線・JNDIRealmの認証検証の抜け・AJPレスポンス混線など）があると公表しました。修正版は11.0.27／10.1.61／9.0.123。運用サーバーのバージョン確認と更新が対策です。
JVN（JPCERT/CC と IPA の共同事業）は2026年10月21日、Apache Tomcat に計8件の脆弱性があると公表しました（JVNVU#93110597）。修正版は Tomcat 11.0.27・10.1.61・9.0.123 で、運用中のサーバーは該当バージョンへの更新が対策になります。
この記事の要点を最初にまとめます。
何が起きたか（要点）
- Apache Tomcat の脆弱性 8件が2026年10月20日付けで公表された（JVN・JVNVU#93110597、2026年10月21日取得）。
- 各脆弱性の修正版は Tomcat 11.0.27・10.1.61・9.0.123。該当バージョンより古い運用サーバーは更新が対策になる。
- 中には HTTP/2 のエラー処理でリクエストとレスポンスが混ざる恐れのある脆弱性（CVE-2026-101356）や、認証情報の検証が失敗を「通してしまう」恐れのある脆弱性（CVE-2026-101296）が含まれる。
次に、それぞれの脆弱性の内容を整理します。
脆弱性の内容（8件）
- CVE-2026-101356: HTTP/2 で非同期処理中にエラーが起きたあと、リクエストとレスポンスが混ざる恐れ。別利用者の応答が見える・意図しない応答が返るなどの影響が考えられる。
- CVE-2026-101296: JNDIRealm で GSSAPI 以外の SASL 認証機構を使うとき、バインド用の資格情報の検証が失敗を正しく扱えず、本来通らないはずの認証が通る恐れ。
- CVE-2026-103119: AJP コネクタでレスポンスが混ざる恐れ。
- CVE-2026-88041: HTTP/2 の trailer ヘッダーが別リクエストに混ざる恐れ。
- CVE-2026-93446: TLS 1.3 の接続が失敗する恐れ（可用性への影響）。
- CVE-2026-74049: Jasper（JSP）の JSTL <c:redirect> プラグイン実装で SKIP_PAGE の処理が欠落している問題。
- CVE-2026-74048: OpenSSL-FFM を FIPS モードで使うとき、失敗時に起動が止まらない問題。
- CVE-2026-80353: Unix Domain Socket の権限設定時の TOCTOU（使う前後で状態が変わる検査の抜け）。以前の修正（CVE-2026-65183）が APR コネクタに届いていなかったもの。
自分が該当するかの確認方法
運用している Tomcat のバージョンをまず確認してください。バージョンは起動ログや管理画面、バージョン表示ファイル（RELEASE-NOTES など）で確認できます。11.0.27 未満の 11.x、10.1.61 未満の 10.1.x、9.0.123 未満の 9.0.x が対策対象です。HTTP/2 や AJP コネクタを有効にしていない場合でも、Tomcat 自体のバージョン確認と更新判断は行ってください。
対策（どうするか）
- 該当バージョンより古い Tomcat を、11.0.27／10.1.61／9.0.123 のいずれかの修正版へ更新する（JVN が案内する Apache の対策）。
- 更新できないときは、HTTP/2・AJP コネクタの扱い（外部に公開するか、利用者を限定するか）を見直し、Tomcat の公式セキュリティページで各 CVE の影響条件を確認する。
- 管理機能や management アプリ（Manager）をインターネットに直接公開しない、アクセスできる人を限定する。
よくある質問
Q. この脆弱性で利用者のアカウントが乗っ取られますか？
CVE-2026-101296 のような認証の抜けは、パスワードを持たない利用者が他人のセッションや権限に接触する恐れのある種類の問題です。ただし、どの条件で影響を受けるかは Apache の各アドバイザリの条件次第です。まず対象バージョンかどうかを確認し、更新が最も確実な対策です。
Q. アップデート以外にしておくべきことはありますか？
管理画面・管理用の通信をインターネットに公開しない、アクセスできる人を限定する、サーバー側のログで認証の失敗や HTTP/2 のエラーを確認するといった普段からの予防が有効です。Web サーバー（Tomcat）の管理パスワードを他のサービスと使い回している場合は、使い回しを見直してください。
Q. 影響はいつからありますか？
JVN は2026年10月21日にこの件を公表しました。脆弱性の存在自体は Tomcat の古いバージョンに及んでおり、修正版が出ている今が更新のタイミングです。
アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。新しい注意喚起が公表されたときは、利用者が取るべき手順と一緒にまとめてお伝えします。
出典: JVN JVNVU#93110597「Apache Tomcatにおける複数の脆弱性（2026年10月20日）」、2026年10月21日公表（2026年10月21日取得）。修正版は Apache Tomcat 公式セキュリティページ（security-11/10/9）を参照。
関連記事
GROWIの3つの脆弱性とは？影響バージョンとv8.0.7への更新を解説（2026年10月27日）
JVNは2026年10月27日、GROWI v8.0.6以前にある3つの脆弱性（CVE-2026-105272・CVE-2026-109848・CVE-2026-115624）を公表しました。閲覧権限のないページが読まれたり、下書きが書き換えられたりするおそれがあり、対策はv8.0.7への更新です。
AfDの情報流出とは？メール34.5万件が漏えい、自分のアドレスが含まれるかの調べ方（2026年10月27日）
Have I Been Pwned（HIBP）は2026年10月27日、ドイツの政党「AfD」の流出事件（2026年9月発生・公表データで一意なメールアドレス345,439件）を検索対象に追加しました。流出データにはメールアドレスとメール本文が含まれ、パスワードは含まれません。
Sleipnir Mobileの偽アドレスバー脆弱性と対策（2026年10月27日）
Sleipnir Mobile for Android 3.9.0未満では、画面上に偽のアドレスバーなどを表示される脆弱性が報告されました。細工されたWebページを開くとフィッシング被害に遭う可能性があります。対象バージョンと更新方法、利用者が確認したい点をJVNと開発元の発表から解説します。
この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針