サイバーセキュリティ

Apache Tomcatにおける複数の脆弱性（2026年10月20日）

The Apache Software Foundationは、Apache Tomcatの8件の脆弱性に対するアドバイザリを公開しました。修正版としてApache Tomcat 11.0.27、10.1.61、9.0.123が示されています。取得した本文からは、各脆弱性の影響範囲や深刻度などの詳細を確認できませんでした。詳細は公式アドバイザリおよびJVNの脆弱性情報をご確認ください。

最終確認日: 2026-10-21

この発表の要点

The Apache Software Foundationが、Apache Tomcatの8件の脆弱性に対するアドバイザリを公開した。
修正版はApache Tomcat 11.0.27、10.1.61、9.0.123である。
各脆弱性の詳細は取得した本文では確認できず、公式アドバイザリで確認する必要がある。

企業・自治体への影響

Apache Tomcatを利用してWebシステムや業務アプリケーションを運用している企業・自治体のシステム運用部門（情報システム部門）に影響があり得ます。脆弱性の影響度は取得した本文からは判断できないため、利用中のバージョンと構成に基づき個別に評価する必要があります。

対応すべきこと

自社・関連システムで利用しているApache Tomcatのバージョンを確認し、修正版（11.0.27、10.1.61、9.0.123）との該当有無を判定する
公式アドバイザリおよびJVNで各CVEの詳細（影響条件・深刻度）を確認する
該当する場合は、更新計画と検証手順を情報システム部門で策定する
判定結果と対応状況を経営層へ共有する

対象部門： 情シス経営者

対応期限：速やかに確認

基本データ

企業・団体	The Apache Software Foundation
業界	IT・ソフトウェア
発表日	2026-10-20
分類	サイバーセキュリティ

発表された内容

2026年10月20日）

The Apache Software Foundationから、Apache Tomcatの8件の脆弱性に対してアドバイザリが公開されました。

Apache Tomcatのアドバイザリを参照してください。

Fixed in Apache Tomcat 11.0.27
Fixed in Apache Tomcat 10.1.61
Fixed in Apache Tomcat 9.0.123

Apache Tomcatのアドバイザリを参照してください。

ベンダ

リンク

The Apache Software Foundation

[SECURITY] CVE-2026-101356 Apache Tomcat – HTTP/2 request/response mix-up after error during async processing

[SECURITY] CVE-2026-101296 Apache Tomcat – JNDIRealm bind credential validation fails open for non-GSSAPI SASL mechanisms

[SECURITY] CVE-2026-93446 Apache Tomcat – Possible TLS 1.3 connection failures

[SECURITY] CVE-2026-88041 Apache Tomcat – HTTP/2 trailer header cross-contamination

[SECURITY] CVE-2026-74049 Apache Tomcat – Jasper JSTL plug-in implementation omits page abort (SKIP_PAGE)

[SECURITY] CVE-2026-74048 Apache Tomcat – OpenSSL-FFM FIPS failure does not prevent start-up

[SECURITY] CVE-2026-103119 Apache Tomcat – AJP response mix-up

[SECURITY] CVE-2026-80353 Apache Tomcat – TOCTOU when setting specific permissions for Unix Domain Sockets – Fix for CVE-2026-65183 did not address APR connector

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

JVN
HOME
JVNとは
脆弱性レポートの読み方
脆弱性レポート一覧
VN_JP
VN_JP（連絡不能）
VN_VU
VN_TA
TRnotes
JVN iPedia
MyJVN
JVNJS/RSS
ベンダ情報一覧
連絡不能開発者一覧
脆弱性情報の届出
お問合せ先

出典: jvn@jvn.jp
URL: https://jvn.jp/vu/JVNVU93110597/

時系列

2026-10-20　The Apache Software Foundationから、Apache Tomcatの8件の脆弱性に対してアドバイザリが公開された。

主な数値

脆弱性件数	8件

この事例から確認すべきポイント

本発表は、Apache Tomcatに関する8件の脆弱性についてアドバイザリが公開された、という事実を伝えるものです。取得した本文では、各脆弱性の深刻度、攻撃条件、影響を受ける具体的な機能などの詳細は確認できませんでした。詳細は公式アドバイザリおよびJVNの脆弱性情報でご確認ください。一方、修正版としてApache Tomcat 11.0.27、10.1.61、9.0.123が示されているため、自社で利用しているTomcatのメジャーバージョンを確認し、該当する修正版への更新可否を検討することが実務上の出発点になります。また、脆弱性の内容には、HTTP/2、AJP、TLS、JNDIRealm、Jasper、OpenSSL-FFM、Unix Domain Socketsなど多岐にわたる領域が含まれています。そのため、Webアプリケーションや接続設定を利用している場合は、構成ごとに影響を評価することが望まれます。

公式出典

JPCERT/CC および IPA（JVN）

更新履歴

公開日: 2026-10-21 ／最終確認: 2026-10-21

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-10-21