サイバーセキュリティ

Apache Tomcatにおける複数の脆弱性（2026年9月23日）

2026年9月23日、The Apache Software FoundationよりApache Tomcatに関する15件の脆弱性についてアドバイザリが公開されました。対象バージョンや修正済みバージョン、具体的なCVE識別子が公表されており、該当するシステムを使用している組織においては、速やかに公式アドバイザリを確認し、アップデート等の対策を実施することが求められます。

最終確認日: 2026-09-24

この発表の要点

Apache Tomcatの15件の脆弱性に対するアドバイザリが公開された。
Apache Tomcat 11.0.26、10.1.60、9.0.122、およびTomcat Native Connector 2.0.16 / 1.3.9で修正されている。
DoS攻撃や認証バイパスなどにつながる複数のCVEが報告されている。

企業・自治体への影響

Apache Tomcatを利用している企業・組織のシステムにおいて、サービス停止や認証バイパスなどのセキュリティリスクが生じる可能性があります。情シス部門や開発部門での影響範囲の特定とアップデート対応が必要です。

対応すべきこと

自社システムにおけるApache Tomcatおよび関連コネクタの利用有無とバージョンを確認する
公式アドバイザリを参照し、該当する場合は各修正バージョンへアップデートを実施する
情シス部門および開発部門へ本脆弱性情報を共有する

対象部門： 情シス

対応期限：速やかに確認

基本データ

企業・団体	The Apache Software Foundation
業界	IT・ソフトウェア
発表日	2026-09-23
分類	サイバーセキュリティ

発表された内容

2026年9月23日）

The Apache Software Foundationから、Apache Tomcatの15件の脆弱性に対してアドバイザリが公開されました。

Apache Tomcatのアドバイザリを参照してください。

Fixed in Apache Tomcat 11.0.26
Fixed in Apache Tomcat 10.1.60
Fixed in Apache Tomcat 9.0.122
Fixed in Apache Tomcat Native Connector 2.0.16 / 1.3.9

Apache Tomcatのアドバイザリを参照してください。

ベンダ

リンク

The Apache Software Foundation

[SECURITY] CVE-2026-73581 Apache Tomcat – OpenSSL and OpenSSL-FFM TLS implementations ignore CRLs when certificate uses a keystore

[SECURITY] CVE-2026-75973 Apache Tomcat – Cross-context authentication mix-up with Jakarta Authentication configured

[SECURITY] CVE-2026-76183 Apache Tomcat – Bypass of security constraints for WebSocket endpoints

[SECURITY] CVE-2026-77756 Apache Tomcat – Transfer-Encoding honored for HTTP/1.0 requests

[SECURITY] CVE-2026-77762 Apache Tomcat – Stale HPACK emitter injects trailers into recycled pooled Request

[SECURITY] CVE-2026-77791 Apache Tomcat – DoS via busy wait during WebSocket close

[SECURITY] CVE-2026-78383 Apache Tomcat – AJP DoS via missing request body

[SECURITY] CVE-2026-78437 Apache Tomcat – HTTP/2 DoS via malformed request

[SECURITY] CVE-2026-79677 Apache Tomcat – WebSocket DoS due to lost asynchronous write timeout

[SECURITY] CVE-2026-86243 Apache Tomcat Native – DoS via TLS handshake

[SECURITY] CVE-2026-86246 Apache Tomcat Native – Insecure OpenSSL options enabled

[SECURITY] CVE-2026-86247 Apache Tomcat Native – Client certificate requirements can be down-graded

[SECURITY] CVE-2026-86248 Apache Tomcat – Fix for CVE-2026-34500 was incomplete. OCSP checks sometimes soft-fail with FFM even when soft-fail is disabled

[SECURITY] CVE-2026-86350 Apache Tomcat – Regression in fix for CVE-2026-41293 can trigger request header mix-up

[SECURITY] CVE-2026-87022 Apache Tomcat – WebSocket message smuggling with per-message-deflate

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

出典: jvn@jvn.jp
URL: https://jvn.jp/vu/JVNVU94625787/

時系列

2026-09-23　The Apache Software FoundationからApache Tomcatの脆弱性に関するアドバイザリが公開された

主な数値

脆弱性件数	15件

この事例から確認すべきポイント

本発表は、広く利用されているオープンソースのWebアプリケーションサーバー「Apache Tomcat」および関連コネクタにおいて、複数（15件）の脆弱性が発見され修正版が公開されたことを伝えるものです。DoS攻撃や認証バイパス、情報漏えいなど多岐にわたるリスクが含まれており、放置するとシステム停止や不正アクセスの温床となります。実務上は、自社システムにおけるTomcatの利用有無やバージョンを迅速に棚卸しし、案内されている修正バージョンへのアップデート計画を策定・実行することが極めて重要です。また、開発部門やインフラ部門だけでなく、セキュリティ部門全体でCVE情報を精査する必要があります。

公式出典

JPCERT/CC and IPA

更新履歴

公開日: 2026-09-24 ／最終確認: 2026-09-24

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-09-24