Apache Tomcatは、Java で作られたWebアプリを動かすサーバーのソフトです。公式のセキュリティ のページは、2026年9月15日の日付の節で、修正版11.0.26・10.1.60・9.0.122と、脆弱性 12件を挙げています。ドイツのBSI(CERT-Bund)の注意情報WID-SEC-2026-3527(深刻度「mittel」=中)は、10月11日(UTC)までに、SUSE・F5・Camundaの情報を加えました。
自社でTomcatを動かしている会社と、Tomcatを中に持つ製品を使う会社は、版と使っている機能を確認します。
公式の資料で確かめられたこと
項目
内容
出どころ
件数
3つの系列とも12件。BSIが挙げるCVEも12件で同じ
Tomcat、BSI
修正版
11.0.26、10.1.60、9.0.122(対応表の「最新の版」も同じ)
Tomcat
日付
節の日付は2026-09-15。12件とも「made public on 23 September 2026」
Tomcat
深刻度
Tomcatの評価はImportant 4件、Moderate 3件、Low 5件。BSIは全体で「mittel」(BSIの評価)
Tomcat、BSI
悪用
確かめた資料には書かれていない
BSIの更新
初版9月22日、第7版10月11日(UTC)。openSUSE、SUSE、F5の更新を順に加えた
BSI
Tomcat公式の9.0.122の節。最初の2件(87022・86350)の記載 出典: Apache Software Foundation「Apache Tomcat 9.x vulnerabilities」 (引用) Tomcat公式が挙げる12件の一覧
「内容」は、Tomcatの説明を編集部が日本語に要約したものです。版の欄の「M1〜25」は「11.0.0-M1〜11.0.25」の意味で、10.1系は10.1.59まで、9.0系は9.0.121までです。深刻度は3系列とも同じでした。
CVE
内容(Tomcatの説明から)
深刻度
11系
10.1系
9.0系
2026-87022
per-message-deflate使用時、長さの扱いの誤りでWebSocketメッセージを紛れ込ませられる
Low
M1〜25
M1〜59
M1〜121
2026-86350
CVE-2026-41293の修正の退行。HTTP/2の解釈が揺れ、ヘッダーの取り違えが起こりうる
Important
22〜25
55〜59
118〜121
2026-86248
CVE-2026-34500の修正が不完全。OCSPのsoft-fail無効でも、FFM使用時にCLIENT_CERT認証 が期待どおり失敗しない場合がある
Moderate
M14〜25
22〜59
92〜121
2026-79677
並行処理の不具合で、WebSocket非同期書き込みのタイムアウトが失われ、サービス不能になりうる
Moderate
M1〜25
M1〜59
M1〜121
2026-78437
不正なHTTP/2リクエストが、タイミングで別ユーザーのリクエストを失敗させる
Low
19〜25
53〜59
116〜121
2026-78383
AJPで本文が無いと処理スレッドが固定され、サービス不能になりうる
Important
M1〜25
M1〜59
M1〜121
2026-77791
WebSocketのclose送信中のbusy waitで、サービス不能になりうる
Important
M5〜25
8〜59
74〜121
2026-77762
競合状態により、別のHTTP/2リクエストにtrailerフィールドを注入できる
Low
M1〜25
M1〜59
39〜121
2026-77756
HTTP/1.0でTransfer-Encodingが処理され、リバースプロキシの背後で別ユーザーのリクエストを失敗させうる
Low
M1〜25
M1〜59
47〜121
2026-76183
パスの誤った解釈で、WebSocketエンドポイントのセキュリティ制約を回避できる
Important
M1〜25
M1〜59
M1〜121
2026-75973
Jakarta AuthenticationでSimpleAuthConfigProviderを既定にし複数アプリが使うと、最初に認証したアプリのレルムが全アプリに使われる
Low
M1〜25
M1〜59
M4〜121
2026-73581
OpenSSL系のTLS実装で、証明書がキーストアを使う場合にCRL(失効リスト)が無視される
Moderate
M1〜25
M1〜59
M1〜121
86350と78437は、影響する版が新しい範囲に限られます。9.0系で言えば、9.0.115以前はこの2件の対象に入っていません。
影響が出る条件は機能で決まる
Tomcatの説明が書く条件を、機能ごとに分けます。
WebSocket: 87022(per-message-deflateを使うとき)、79677(非同期書き込み)、77791(close送信)、76183(セキュリティ制約)
HTTP/2: 86350、78437、77762
AJP(Apache JServ Protocol・Webサーバーとの連携用の接続): 78383
リバースプロキシの背後のHTTP/1.0リクエスト: 77756
TLS・認証: 73581(OpenSSL系のTLS実装とキーストア)、86248(CLIENT_CERT認証とOCSP)、75973(Jakarta Authentication)
公式の「Security Considerations」は、AJPは平文で、信頼できるネットワークでの利用を基本とすると書いています。自社のTomcatがこれらを使うかは、設定ファイル(server.xmlなど)で確かめます(編集部の補足)。
製品と Linux 各社の扱い
編集部が開いて確かめた内容です。openSUSEとSUSE-SU-2026:4546-1は、BSIの一覧にありますが開いていません。
提供元
確かめた内容
SUSE-SU-2026:4544-1(10月6日)
評価は「critical」(SUSEの評価)。tomcat11 11.0.26、libtcnative 1.3.9。対象はSLES 15 SP6・SP7、openSUSE Leap 15.6など。15件(Tomcat本体12件とTomcat Native 3件)
SUSE-SU-2026:23985-1(9月30日公開)
対象はSLES 16.0とSAP向け16.0。tomcat10は10.1.60、tomcat11は11.0.26。15件
F5 K000163606(10月9日)
CVE-2026-78383のみ。BIG-IPの21.1.0、17.5.0〜17.5.1、17.1.0〜17.1.3が対象。「Fixes introduced in」は「None」。評価はMedium(CVSS 3.1で6.5)。BIG-IP Next、BIG-IQ、F5OS、NGINXは「Not vulnerable」
Camunda Notice 171(10月9日)
Camunda 7の7.24.15以下が対象。修正版は7.24.16。挙がるCVEは76183と77226(77226はTomcatの12件に入っていない)
F5は影響を「BIG-IPの管理画面(TMUI)が応答しなくなりうる」と書いています。SUSEのcritical、TomcatのImportant、BSIのmittelは、評価する機関で違います。
サポートが終わった系列
Tomcatの対応表は、11.0・10.1・9.0をサポート中としています。終了済みは、10.0系(2022-10-31)、8.5系(2024-03-31)、8.0系(2018-06-30)、7.0系(2021-03-31)などです。
Tomcatの対応表のうち、サポートが終わった系列とEOL日 出典: Apache Software Foundation「Apache Tomcat Versions」 (引用) 同じページは9.0系について「End of support for Tomcat 9.0.x is expected no earlier than 31 March 2027」(終了は早くても2027年3月31日の見込み)と書いています。10.0系の公式ページは、2022年10月31日より後の報告は10.0系で確認せず、修正しないとしています。F5の記事は、CVE-2026-78383が8.5.100までと7.0.109までの終了済みの版にも影響すると書いています。Tomcatのページに、この12件の8.5系への影響の記載はありません。
同じJavaの部品の話は、Nettyの脆弱性の記事 でも扱っています。
影響する会社・しない会社
影響する: 自社のサーバーでTomcat 9.0.121以前・10.1.59以前・11.0.25以前を動かしている会社。条件は上の機能ごとの表で確かめます
影響する(確認が要る): F5 BIG-IP(上記の版)やCamunda 7(7.24.15以下)を使う会社。提供元の案内を確認します
影響する(確認が要る): 終了済みの8.5系や10.0系を使う会社。公式の修正版はありません
影響する(確認が要る): Tomcatを中に持つパッケージ製品や委託先のシステムを使う会社。公式の資料で確かめられたのは上の製品だけです
影響しない: Tomcatを使わない会社。Tomcatが11.0.26・10.1.60・9.0.122以降の会社は、この12件の修正を含みます
情シスが今日やること
Tomcatを動かすサーバーを洗い出す。bin/version.sh(Windows は version.bat)で版が出ます。公式は、エラー画面の版表示は変えられるが、このスクリプトは正しい版を示すと書いています
委託先とパッケージ製品のメーカーに、中のTomcatの版を聞く(編集部の補足)
上の機能の分類と自社の設定を照らし、優先度を決める(編集部の補足)
11.0.26・10.1.60・9.0.122以降へ更新する。OSのパッケージは、提供元のアドバイザリで、版の番号と修正の有無を確かめます
更新できない場合は、期限を決めて記録する。Tomcatのページに回避策の記載はありません
書かれていないこと
次の点は、確かめた資料には書かれていません。この記事でも書きません。
悪用された事例や、攻撃を観測したという報告
12件の回避策(Tomcatの各項目に、修正版以外の記載がありません)
F5 BIG-IPの修正版が出る時期。F5のページの「Fixes introduced in」は「None」です
Camundaの77226の内容と、Camunda 7のどの配布物にTomcatが入っているか
Tomcat Native 3件へのTomcat公式の評価
