最終更新：10 月 24 日 19:58（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 保守を任せている会社 ／ 8 つの脆弱性の中身 ／ 対象の版と修正版の早見表 ／ Tomcat の管理者がやること ／ 経緯
ひとことで言うと
Java の業務システムを動かすソフト「Tomcat」に弱点が 8 つ見つかった件。直した版に更新する（10 月 20 日の発表）
- Java で作った Web アプリや業務システムを動かすソフト「Apache Tomcat」に、システムの弱点（脆弱性）が 8 つ見つかった
- 重要なものは 3 つ。特定の設定のときに、正しいパスワードなしでログインできてしまう問題も入っている
- 直した版は 11.0.27・10.1.61・9.0.123。サポートが終わった古い系列は、新しい系列への移行を考える
どうすればいい？
よくある疑問と答え
-
うちの会社は関係ある？
Java で作った業務システムや Web アプリの裏側で、Tomcat が動いていることがあります。自分で触らない会社は、作った会社や保守の会社に聞いてください（この記事での整理）。
→ 保守を任せている会社がやること -
どれくらい危ない？
深刻度は Important（重要）が 3 つ、Low（低）が 5 つです。悪用が確認されたかどうかは、発表に書かれていません。
→ 8 つの脆弱性の中身 -
どの版にすればいい？
同じ系列の 11.0.27・10.1.61・9.0.123 です。11.0.26・10.1.60・9.0.122 以前が影響を受けます（影響を受け始める版は脆弱性ごとに違います）。
→ 対象の版と修正版の早見表 - 更新のほかに対策はある？ 発表に書かれている対策は修正版への更新で、ほかの回避策は書かれていません。
-
古い 10.0 や 8.5 を使っている場合は？
どちらもサポートが終わっています。サポート中の系列への移行を計画し、あわせて Java の版も確かめます。
→ Tomcat の管理者がやること
詳しくは：対象の版と修正版の早見表 ／ Tomcat の管理者がやること ／ 保守を任せている会社
この記事では、Apache Tomcat の脆弱性（2026 年 10 月 20 日）について、Apache Tomcat のセキュリティのページとセキュリティチームのアナウンス、JPCERT/CC と IPA が運営する脆弱性の情報サイト JVN の発表だけをもとに、影響を受ける版と修正版、Tomcat を動かしている事業者やシステムの保守を任せている事業者がやることを整理します。攻撃の手順の細かい情報は載せていません。
保守を任せている会社がやること
Tomcat を自分では触らない会社向けにまとめたものです（この記事での整理）。Tomcat は業務システムや Web アプリの裏側で動いていて、使っている側からは見えないことが多いソフトです。
- システムを作った会社・保守の会社に聞く 業務システムや Web アプリで Tomcat を使っているかを聞く。使っているなら、系列と版、今回の修正版への更新の予定を聞く。10.0 系列・8.5 系列以前なら、移行の予定と費用もあわせて聞く。
- 業務パッケージに組み込まれている 買ってきた業務パッケージの中に Tomcat が組み込まれていることがある。その場合は自分で入れ替えず、製品の開発元の案内を確かめる。
- クラウドのサービスとして使っている サービスの会社がサーバーを管理している場合、更新するのはサービスの会社になる。サービスの会社のお知らせを見ておく。
何が見つかったか（技術的な詳細）
ここからは、Tomcat を管理する担当者・エンジニア向けです。まず、Apache Tomcat がどんなソフトかです。Apache Tomcat は、Java で作った Web アプリや業務システムを動かすためのソフトです。前段に Apache HTTP Server などの Web サーバーを置き、AJP という方式で Tomcat とつなぐ使い方もあります（この記事での整理）。
10 月 20 日の発表で分かっていることです。Apache Tomcat のセキュリティチームは、サポート中の 3 つの系列（11.0・10.1・9.0）について、修正版の 11.0.27・10.1.61・9.0.123 で直した 8 つの脆弱性を公表しました。Apache Tomcat によると、深刻度は Important（重要）が 3 つ、Low（低）が 5 つです。発表には、悪用が確認されたかどうかの記載はありません。
| 脆弱性 | 起きうること | 深刻度 |
|---|---|---|
| CVE-2026-101296（JNDI realm のログインの確認） | ログインの確認を LDAP などのディレクトリに任せる「JNDI realm」を、GSSAPI 以外の SASL の認証方式で設定していると、正しいパスワードなしでログインできてしまう | Important（重要） |
| CVE-2026-101356（HTTP/2 のリクエストと応答の入れ替わり） | HTTP/2 で非同期の処理をするサーブレットで、処理中のエラーのあと、利用者どうしのリクエストや応答が入れ替わるおそれ | Important（重要） |
| CVE-2026-103119（AJP の応答の入れ替わり） | AJP の接続で大きな応答を書き出すと、応答の中身が次のリクエストにまたがり、次のリクエストが失敗したり、前の応答のデータが次の応答に漏れたりするおそれ（11.0 系列だけ） | Important（重要） |
| CVE-2026-88041（HTTP/2 のトレーラーの混入） | HTTP/2 で、前のリクエストのトレーラー（本文のあとに送られるヘッダーの情報）が、次のリクエストに漏れ込む | Low（低） |
| CVE-2026-93446（TLS 1.3 の接続の失敗） | 後片付けの処理が不完全なため、TLS 1.3 の接続がときどき失敗することがある | Low（低） |
| CVE-2026-74049（JSP の c:redirect の処理） | JSP を動かす部分（Jasper）が置き換えて処理する <c:redirect> が、その場で処理を終えず、転送のあともページの残りが処理される | Low（低） |
| CVE-2026-74048（FIPS モードの失敗） | FIPS モードを使う設定で、FIPS の有効化に失敗しても起動が止まらず、記録を残したうえで、FIPS ではないモードのまま動き続ける | Low（低） |
| CVE-2026-80353（Unix ドメインソケットの権限） | APR/Native のコネクターで Unix ドメインソケットを作るときの競合状態により、権限のないローカルの利用者がソケットにアクセスできる。以前の CVE-2026-65183 の修正が、このコネクターに及んでいなかった（9.0 系列だけ） | Low（低） |
日本語の情報も出ています。JVN は 10 月 21 日に、The Apache Software Foundation から Apache Tomcat の 8 つの脆弱性についてアドバイザリが公開されたと伝えています（JVNVU#93110597）。影響を受ける版や対策は、Apache Tomcat のアドバイザリを参照するよう案内しています。
対象の版と修正版の早見表
Apache Tomcat のセキュリティのページとアナウンスのとおりです。脆弱性ごとに、影響を受ける版が違います。「—」は、その系列が影響を受ける版に挙がっていないものです。
| 脆弱性 | 11.0 系列 | 10.1 系列 | 9.0 系列 |
|---|---|---|---|
| CVE-2026-101296 | 11.0.0-M1 〜 11.0.26 | 10.1.0-M1 〜 10.1.60 | 9.0.0.M1 〜 9.0.122 |
| CVE-2026-101356 | 11.0.22 〜 11.0.26 | 10.1.55 〜 10.1.60 | 9.0.118 〜 9.0.122 |
| CVE-2026-103119 | 11.0.0-M25 〜 11.0.26 | — | — |
| CVE-2026-88041 | 11.0.0-M23 〜 11.0.26 | 10.1.27 〜 10.1.60 | 9.0.92 〜 9.0.122 |
| CVE-2026-93446 | 11.0.0-M21 〜 11.0.26 | 10.1.25 〜 10.1.60 | 9.0.90 〜 9.0.122 |
| CVE-2026-74049 | 11.0.0-M1 〜 11.0.26 | 10.1.0-M1 〜 10.1.60 | 9.0.0.M1 〜 9.0.122 |
| CVE-2026-74048 | 11.0.0-M14 〜 11.0.26 | 10.1.22 〜 10.1.60 | 9.0.92 〜 9.0.122 |
| CVE-2026-80353 | — | — | 9.0.47 〜 9.0.122 |
| 修正版 | 11.0.27 | 10.1.61 | 9.0.123 |
直し方についての案内です。Apache Tomcat は、バイナリのパッチ（入れ替えるだけで直るファイル）は出さないとしています。ソースコードのパッチを当てる場合は、使っている版の手順に従って自分でビルドするよう案内しています。中小企業の現場では、修正版への更新が直す方法になります（この記事での整理）。
サポートが終わった系列
Apache Tomcat の「どの版を使うか」のページでは、サポート中の系列は 11.0.x・10.1.x・9.0.x で、最新の版はそれぞれ 11.0.27・10.1.61・9.0.123 です。10.0.x（2022 年 10 月 31 日）や 8.5.x（2024 年 3 月 31 日）などはサポートが終わっていて、サポート中の版へ更新するよう勧めています。
今回の発表の影響を受ける版に、これらの系列は挙がっていません。ただ、サポートが終わった系列には今後も修正版が出ないと考えて、移行を計画してください（この記事での整理）。
Tomcat の管理者がやること
Apache Tomcat の発表の対策（修正版への更新）を、作業の順に並べたものです（順番と、発表に無い補足は この記事での整理）。
- 動いている Tomcat の系列と版を確かめ、上の早見表で影響を受けるかを見る
- 同じ系列の修正版（11.0.27・10.1.61・9.0.123）へ更新する。発表に書かれている対策は修正版への更新で、ほかの回避策は書かれていない
- JNDI realm を GSSAPI 以外の SASL の方式で使っている、HTTP/2 や AJP を使っているなど、Important の脆弱性の条件に近いサーバーから先に更新する（この記事での整理）
- 更新の前に、設定ファイルと動いている Web アプリを控えておく。更新のあとに、ログインや主な画面がふだんどおり動くかを確かめる（この記事での整理）
- 10.0 系列・8.5 系列以前なら、サポート中の系列への移行を計画する。サポート中の系列が動く Java の版は、11.0.x が 17 以降、10.1.x が 11 以降、9.0.x が 8 以降とされているので、Java の版もあわせて確かめる
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 21 日 | JVN が JVNVU#93110597 を公開した |
| 10 月 20 日 | Apache Tomcat のセキュリティチームが 8 つの脆弱性を公表し、Tomcat の announce のメーリングリストでアナウンスを出した |
| 10 月 12 日 | Apache Tomcat のセキュリティのページで、修正版の 11.0.27・10.1.61・9.0.123 の日付として書かれている日 |
| 8 月 13 日〜9 月 16 日 | Apache Tomcat のセキュリティチームが、それぞれの脆弱性の報告を受けた期間（セキュリティのページの記載） |
自社で見直すこと
業務システムは、一度動き始めると何年も同じ版のまま使われがちです。Tomcat のようにシステムの土台になっているソフトは、利用者からは見えないぶん、更新が後回しになりやすいところです（この記事での整理）。
- システムの土台のソフトを一覧にする Tomcat・Java・データベースなど、業務システムを支えているソフトの名前と版、更新する人を、作った会社と一緒に書き出しておく。
- サポートが終わる時期を控えておく Tomcat は系列ごとにサポートが終わる。Apache Tomcat は、9.0.x のサポートの終わりは 2027 年 3 月 31 日より前にはならない見込みとしている。使っている系列の予定を確かめ、移行の時期と費用を早めに相談する。
- 保守の契約に更新が入っているかを確かめる ソフトの更新が保守の範囲に入っているか、入っていないなら誰に頼むのかを決めておく。
Web アプリの部品の脆弱性のほかの例は 「Ruby on Rails（Active Storage）の脆弱性」、ほかの最近の出来事は 「最近のサイバー攻撃と対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、Tomcat のような土台のソフトの脆弱性の情報を追い、更新を公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
