Apacheは2026年10月20日、Tomcatに存在する8件の脆弱性を公表しました。認証バイパスのほか、ユーザーセッションをまたいで情報が漏えいするおそれのあるリクエスト処理の欠陥が含まれます。
8件のうち3件は、Apacheが「重要(Important)」と評価しています。残る5件は「低(Low)」です。今回の公表は、認証、HTTP/2、AJP、TLS、JSP処理、ローカルソケットへのアクセスと、広い範囲に及んでいます。
認証面で最も直接的な脅威となるのが、CVE-2026-101296です。JNDIRealmを非GSSAPIのSASL認証メカニズムと組み合わせて使っている環境が影響を受けます。
資格情報の検証手順が欠けているため、攻撃者は正しいパスワードを入力しなくても認証を通過できます。ただし、これは設定に依存する脆弱性です。すべてのTomcat環境に影響する普遍的なバイパスではありません。
JNDIRealmは、Tomcatの認証をディレクトリサービスに接続する仕組みです。影響を受ける構成では、バインド時の資格情報の検証が失敗しても処理が通ってしまいます（フェイルオープン）。その結果、アプリケーションのリソースを守るパスワード確認が機能しなくなります。
影響を受けるのは、Tomcat 11.0.0-M1から11.0.26、10.1.0-M1から10.1.60、9.0.0.M1から9.0.122です。サポート対象外のTomcat 7および8.5も影響を受けることが判明しています。
CVE-2026-101356は、非同期サーブレットのHTTP/2処理に潜む、別の機密性リスクです。エラー発生後にオブジェクトのリサイクルと再利用が正しく行われず、ユーザー間でリクエストやレスポンスが混在するおそれがあります。
影響を受けるバージョンは、11.0.22から11.0.26、10.1.55から10.1.60、9.0.118から9.0.122です。「重要」に分類される3件目のCVE-2026-103119は、Tomcat 11のAJP処理に影響します。
大きなデータをノンブロッキングで書き込む際にバッファのアンダーリードが起き、レスポンスボディが現在のリクエストと同一接続上の次のリクエストに分割されてしまう可能性があります。Apacheによると、2番目のリクエストはほぼ失敗しますが、最初のレスポンスのデータが2番目に漏れるおそれがあります。
Apacheは、深刻度の低い脆弱性について、不完全なクリーンアップ、リダイレクト後も処理が続く問題、暗号設定の不備、ソケットの権限設定に関するものだと説明しています。
影響はそれぞれ異なります。可用性やコンプライアンスに関わるものもあれば、リクエストのメタデータが露出したり、ローカルからの不正アクセスを許したりするものもあります。なお、Apacheの評価は、第三者によるCVSS分類とは別物であり、混同しないよう注意が必要です。
管理者は、サポート対象のブランチに応じて、Tomcat 11.0.27、10.1.61、または9.0.123への更新を優先してください。Apacheは、修正を10月12日付のリリースに掲載しており、10月20日に脆弱性を一般公開しました。
影響範囲はコンポーネントごとに異なります。そのため、リスクの評価ではバージョン番号だけでなく、有効なコンポーネントや認証設定も確認する必要があります。認証に依存するサービスでは、JNDIRealmが影響を受けるSASLメカニズムを使っているかどうかが、まず確認すべき点です。
非同期のHTTP/2アプリケーションや、影響を受けるTomcat 11のAJP環境では、リクエスト間の分離が崩れることが中心的なリスクです。
これらのアドバイザリは、情報が露出しうる仕組みを説明したものです。脆弱な環境から実際にユーザーデータが盗まれたことを示すものではありません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/apache-tomcat-security-flaws/
