JVNは2026年10月21日、Apache Tomcatの脆弱性情報を公開しました。The Apache Software Foundation(ASF)が公表した8件には、認証の検証が失敗しても通る問題や、要求・応答が混同される問題が含まれます。情シスは利用版だけでなく、認証方式や通信設定を整理し、該当する勧告と照合する必要があります。
認証と通信に関わる問題が複数
認証に関するCVE-2026-101296は、JNDIRealmで非GSSAPI SASLを使う場合に、認証の検証が失敗しても通る問題です。名称だけで判断せず、自社の認証設定がこの条件に当たるかを確認することが出発点になります。
通信に関しては、次の4件が報告されています。HTTP/2、TLS 1.3、AJPは、今回の確認対象となる通信方式の名称です。
- CVE-2026-101356：非同期処理でエラーが起きた後に、HTTP/2の要求・応答が混同される問題です。
- CVE-2026-88041：HTTP/2のトレーラーヘッダーが混入する問題です。
- CVE-2026-93446：TLS 1.3の接続が失敗する可能性がある問題です。
- CVE-2026-103119：AJPの応答が混同される問題です。
HTTP/2だけを確認して調査を終えると、認証方式やほかの通信方式に関する確認が残ります。担当者へ依頼する際は、脆弱性の識別番号と利用条件をセットで渡すと、調査範囲を整理できます。
起動・ページ処理と、既存修正の対応漏れ
残る3件は、ページ処理や起動時の動作、ソケットの権限設定に関するものです。
- CVE-2026-74049：JasperのJSTLリダイレクト処理で、ページ処理を中断しない問題です。
- CVE-2026-74048：OpenSSL-FFMでFIPSの処理が失敗した際にも、起動を阻止しない問題です。
- CVE-2026-80353：Unixドメインソケットを特定の権限に設定した場合に起こるTOCTOUの問題です。TOCTOUは、確認時と使用時のずれに関する問題を指します。
公表された8件には、既存修正の対応漏れも含まれます。ASFによると、CVE-2026-65183の修正はAPRコネクターに対応していませんでした。このため、過去に同番号への対応を記録していても、APRコネクターの利用有無と対応内容を改めて照合する必要があります。
今回の資料には、影響を受ける具体的なバージョン、修正版、対応期限は書かれていません。修正版の日本での提供は発表には書かれていません。更新先の版を推測せず、各勧告で確認する必要があります。
影響する会社・しない会社
- 影響する: Apache Tomcatを利用し、JNDIRealmの非GSSAPI SASL、HTTP/2、TLS 1.3、AJPなど、今回挙げられた機能・構成を使う会社は確認対象です。ただし、影響する版は発表には書かれていません。
- 影響する: APRコネクターを利用し、CVE-2026-65183への対応を済ませたと管理している会社は、その記録の再確認が必要です。
- 影響しない: Apache Tomcatを利用していない会社は、今回のTomcatに関する直接の確認対象ではありません。外部委託先での利用も含めて判定してください。
一つの機能を使っていないだけでは、8件すべてが対象外とは判断できません。システム単位で、利用版と構成の両方を確認する進め方が必要です。
情シスが今日やること
以下は社内での確認手順の提案であり、発表が指定した対応期限ではありません。
- 今日中に利用箇所と版を洗い出します。 IT資産台帳や構成管理の記録でApache Tomcatの利用システム、バージョン、運用担当者を確認します。不明なものは、開発担当や保守委託先に確認を依頼します。
- 担当者に設定の確認を依頼します。 認証はJNDIRealmと非GSSAPI SASL、通信はHTTP/2・TLS 1.3・AJPを確認対象として渡します。Jasper、OpenSSL-FFM、Unixドメインソケット、APRコネクターの利用有無も同じ記録にまとめます。資料には具体的な管理画面や設定箇所は書かれていません。
- 既存の対応記録と勧告を照合します。 CVE-2026-65183の対応記録を開き、APRコネクターを含む確認だったかを担当者に尋ねます。8件についても、対象版と修正版を各勧告で確認し、未確認の項目を残します。
- 更新日を決める前に、関係者へ共有します。 システム責任者と保守委託先に、該当する識別番号、利用構成、未確認事項を伝えます。そのうえで更新先の版、動作確認、作業日程を相談してください。
