しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

Apache Tomcatの15件の脆弱性修正（2026年9月23日公表）とは？ 修正版は11.0.26／10.1.60／9.0.122、認証迂回など運用者の取るべき対策

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングApache Tomcat

この記事のポイント: Apache Software Foundationは2026年9月23日、Apache Tomcatの15件の脆弱性を修正したアドバイザリを公開し、JVNが2026年9月24日に注意喚起しました。対策は修正版11.0.26／10.1.60／9.0.122（Native Connector 2.0.16・1.3.9）へのアップデートです。

Apache Tomcatの15件の脆弱性修正（2026年9月23日公表）とは？ 修正版は11.0.26／10.1.60／9.0.122、認証迂回など運用者の取るべき対策

Apache Software Foundation は2026年9月23日、Apache Tomcat の15件の脆弱性を修正したアドバイザリを公開しました。修正版は Tomcat 11.0.26／10.1.60／9.0.122 と、Tomcat Native Connector 2.0.16・1.3.9 です（出典: JVN、2026年9月24日取得）。脆弱性の種類には WebSocket エンドポイント向けセキュリティ制約の迂回や、過去の修正のリグレッションによるリクエストヘッダー混入が含まれます。対象バージョンを運用している管理者は、修正版へのアップデートを進めてください。

何が起きたか（要点）

JVN（JPCERT/CC と IPA が運用する脆弱性・注意喚起情報）は2026年9月24日、このアドバイザリの注意喚起 JVNVU94625787 を公開しました。アドバイザリでは Apache Tomcat の15件の脆弱性が修正されており（出典: JVN、2026年9月24日取得）、種類は TLS の証明書失効（CRL）や OCSP 処理の欠陥、クロスコンテキストの認証取り違え、WebSocket エンドポイント向けセキュリティ制約の迂回、Transfer-Encoding の解釈、HPACK トレーラーの注入、複数の DoS（サービス不能）です。個別の CVSS 値は JVN に記載がなく、Apache の各アドバイザリで深刻度（Important／Moderate／Low）が示されています。

影響するバージョンと修正版

修正版は次のとおりです（出典: JVN、2026年9月24日取得）。影響するバージョンの範囲は CVE ごとに異なるため、詳細は Apache の各アドバイザリを参照してください。

例として 11.0 系では、CVE-2026-86350 は 11.0.22 から 11.0.25 が、CVE-2026-76183 と CVE-2026-73581 は 11.0.0-M1 から 11.0.25 が影響範囲です（出典: Apache Tomcat security-11、2026年9月24日取得）。運用中のバージョンは起動ログや version.sh の実行で確認できます。上記の修正版より前のバージョンを運用している場合は、次の章の対策を進めてください。

運用者が今すべきこと（アップデート）

JVN の注意喚起では、対策として修正版へのアップデートが案内されています（出典: JVN、2026年9月24日取得）。回避策の公表は確認できていません。手順の目安は次のとおりです。

  1. 運用中の Apache Tomcat のバージョン（11.0.x／10.1.x／9.0.x のどれか、Native Connector の有無）を確認します。
  2. Apache Tomcat の公式サイト（Tomcat 11 のダウンロードページ など）から、運用中の系統の修正版（11.0.26／10.1.60／9.0.122）を取得してアップデートします。Tomcat Native Connector を使っている場合は 2.0.16 か 1.3.9 に更新します。
  3. アップデート後に Tomcat を再起動し、アプリケーションが正常に動くかを確認します。
  4. アップデートが完了するまでの間は、WebSocket や管理画面のアクセス制御の設定を見直し、アクセスログに不審なリクエストがないかを確認してください。

あわせて、サーバーの管理画面やアプリのアカウントに使うパスワードを、ほかのサービスと使い回している場合は、使い回しをやめてパスワードを変更してください。認証やアクセス制御に関わる問題は、本来アクセスできないはずの情報に不正に触れる足がかりになる恐れがあります。管理画面では二段階認証を有効にし、アクセスできる人を必要な人に限定することをおすすめします。

なぜアカウント乗っ取りの媒体で扱うのか

今回の15件には、認証やアクセス制御の仕組みに関わる問題が含まれます。CVE-2026-76183 は WebSocket エンドポイント向けのセキュリティ制約が迂回される恐れのある問題で、CVE-2026-86350 はリクエストヘッダーが別のリクエストに混入する恐れのある問題です。これらが直ちにアカウント乗っ取りにつながると断定できるものではありませんが、認証の迂回やセッション・ヘッダーの取り違えにつながり得る種類のため、運用者は早めのアップデートをおすすめします（出典: Apache Tomcat security-11、2026年9月24日取得）。

よくある質問

Q. 2026年9月23日公表の Apache Tomcat の脆弱性（15件）とは何ですか？

Apache Software Foundation が2026年9月23日に公開したアドバイザリで修正された、Apache Tomcat の15件の脆弱性です。修正版は Tomcat 11.0.26／10.1.60／9.0.122 と Tomcat Native Connector 2.0.16・1.3.9 で、JVN が2026年9月24日に注意喚起（JVNVU94625787）を公開しました（出典: JVN）。種類は TLS／CRL・OCSP 処理の欠陥、クロスコンテキスト認証取り違え、WebSocket セキュリティ制約の迂回、Transfer-Encoding の解釈、HPACK トレーラー注入、複数の DoS です。

Q. Tomcat 10.1.60 へのアップデートはどうすればよいですか？

運用中の系統に合わせて修正版へアップデートします。10.1 系は 10.1.60、11.0 系は 11.0.26、9.0 系は 9.0.122、Tomcat Native Connector は 2.0.16 か 1.3.9 です（出典: JVN、2026年9月24日取得）。Apache Tomcat の公式サイトから修正版を取得し、入れ替え後に再起動してください。個別の CVSS 値は JVN に記載がなく、深刻度は Apache の各アドバイザリ（重要度 Important／Moderate／Low）で確認できます。

Q. この脆弱性でアカウントは乗っ取られますか？

WebSocket エンドポイント向けセキュリティ制約の迂回（CVE-2026-76183）やリクエストヘッダー混入（CVE-2026-86350）など、認証・アクセス制御に関わる問題を含みます。ただし、この脆弱性によるアカウント乗っ取りの被害事例の公表は、執筆時点（2026年9月24日）で確認できていません。対象バージョンを使っている場合はアップデートを最優先し、管理画面の二段階認証の有効化と、パスワードの使い回しの見直しを推奨します。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。新しい注意喚起が公表されたときは、利用者が取るべき手順と一緒にまとめてお伝えします。

出典: JVN JVNVU94625787、2026年9月23日公表のアドバイザリの注意喚起（2026年9月24日取得）。Apache Software Foundation: Apache Tomcat 11 security page（Fixed in Apache Tomcat 11.0.26）（10.1・9.0 系と Native Connector の security ページも同型）、2026年9月24日取得。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針