サイバーセキュリティ

Apache Tomcatにおける複数の脆弱性（2026年6月29日）

JPCERT/CCとIPAは、The Apache Software Foundationから公開されたApache Tomcatの複数の脆弱性（CVE-2026-55957他7件）に関するアドバイザリについて報告しました。これらの脆弱性は、Apache Tomcatのバージョン11.0.23、11.0.5、10.1.56、10.1.39、9.0.119、9.0.102で修正されています。利用者は、詳細についてApache Tomcatのアドバイザリを参照し、速やかに対応することが推奨されます。

この発表の要点

Apache Tomcatに複数の脆弱性（7件のCVE）が確認され、The Apache Software Foundationからアドバイザリが公開されました。
これらの脆弱性は、Apache Tomcatの特定のバージョン（11.0.23, 11.0.5, 10.1.56, 10.1.39, 9.0.119, 9.0.102）で修正済みです。
詳細はThe Apache Software Foundationの公式アドバイザリを参照し、速やかなアップデートが推奨されます。

企業・自治体への影響

Apache Tomcatを利用している企業や自治体のITシステム、特にウェブアプリケーションやサービスを運用する部門に影響があります。脆弱性を放置すると、認証バイパスや情報漏洩、サービス停止などのセキュリティリスクに直面する可能性があります。

対応すべきこと

自社システムで利用しているApache Tomcatのバージョンを確認する。
公式出典（The Apache Software Foundationのアドバイザリ）で、自社の利用バージョンが脆弱性の影響を受けるか、また修正済みバージョンへのアップデート方法を確認する。
関係部門（情シス、開発部門など）へ本情報を共有し、速やかなパッチ適用計画を策定・実行する。
パッチ適用後も、システムの監視を継続し、セキュリティ状況を定期的に確認する。

対象部門： 経営者情シス広報

対応期限：速やかに確認

基本データ

企業・団体	JPCERT/CC and IPA
業界	IT・ソフトウェア
発表日	2026-06-29
分類	サイバーセキュリティ

発表された内容

2026年6月29日）

The Apache Software Foundationから、Apache Tomcatの脆弱性（CVE-2026-55957, CVE-2026-55956, CVE-2026-55955, CVE-2026-55276, CVE-2026-53434, CVE-2026-53404, CVE-2026-50229）に対してアドバイザリが公開されました。

Apache Tomcatのアドバイザリを参照してください。

Fixed in Apache Tomcat 11.0.23
Fixed in Apache Tomcat 11.0.5
Fixed in Apache Tomcat 10.1.56
Fixed in Apache Tomcat 10.1.39
Fixed in Apache Tomcat 9.0.119
Fixed in Apache Tomcat 9.0.102

Apache Tomcatのアドバイザリを参照してください。

ベンダ

リンク

The Apache Software Foundation

[SECURITY] CVE-2026-55957 Apache Tomcat – Authentication bypass with JNDIRealm and GSSAPI authenticated bind

[SECURITY] CVE-2026-55956 Apache Tomcat – Security constraints for default servlet ignored method

[SECURITY] CVE-2026-55955 Apache Tomcat – EncryptInterceptor not protected against replay attacks

[SECURITY] CVE-2026-55276 Apache Tomcat – Logged effective web.xml is incomplete

[SECURITY] CVE-2026-53434 Apache Tomcat – Invalid CRL configuration doesn’t trigger failure for FFM Connector

[SECURITY] CVE-2026-53404 Apache Tomcat – Bad ornext processing in RewriteValve

[SECURITY] CVE-2026-50229 Apache Tomcat – XXS in number guess example

Fixed in Apache Tomcat 11.0.23

Fixed in Apache Tomcat 11.0.5

Fixed in Apache Tomcat 10.1.56

Fixed in Apache Tomcat 10.1.39

Fixed in Apache Tomcat 9.0.119

Fixed in Apache Tomcat 9.0.102

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

出典: jvn@jvn.jp
URL: https://jvn.jp/vu/JVNVU93304382/

時系列

2026-06-29　The Apache Software Foundationから、Apache Tomcatの脆弱性（CVE-2026-55957, CVE-2026-55956, CVE-2026-55955, CVE-2026-55276, CVE-2026-53434, CVE-2026-53404, CVE-2026-50229）に対してアドバイザリが公開されました。

主な数値

脆弱性件数	7件
修正済みバージョン数	6種類

この事例から確認すべきポイント

JPCERT/CCとIPAが公開したこのアドバイザリは、広く利用されているウェブサーバーおよびサーブレットコンテナであるApache Tomcatにおける複数の重要な脆弱性を指摘しています。これらの脆弱性は、認証バイパス、セキュリティ制約の無視、リプレイ攻撃、不完全なログ記録、クロスサイトスクリプティング（XXS）など、多岐にわたる潜在的な攻撃経路を含んでいます。企業や組織は、自社のITインフラで稼働しているApache Tomcatのバージョンを確認し、これらの脆弱性に対する露出度を評価することが不可欠です。発表には具体的な修正済みバージョンが明記されており、システム管理者はこれに基づき、迅速なパッチ適用計画を策定し実行する必要があります。パッチ適用を怠ると、システムが攻撃に晒され、データ漏洩、不正アクセス、サービス停止などの重大なリスクにつながる可能性があります。詳細な情報と推奨される緩和策については、公式のApache Tomcatアドバイザリを必ず参照し、単なるアップデート以上の対策を検討することが求められます。これは、重要なインフラコンポーネントに対する堅牢なパッチ管理と継続的なセキュリティアドバイザリ監視の重要性を改めて示しています。

公式出典

JPCERT/CC and IPA

更新履歴

公開日: 2026-07-01