トップ ＞ 社会

Apache Tomcatに深刻度CRITICALを含む脆弱性8件、修正版が公開

内容

何が見つかったのか

開発元は10月20日、Webアプリケーションサーバー「Apache Tomcat」に合計8件の脆弱性があると公表しました。開発元自身による深刻度の評価と、共通の指標であるCVSS（3.1または4.0）による評価には差がありますが、CVSSでは3件が最大の9.1（CRITICAL）とされています。

CRITICALとされた3件は次のとおりです。いずれも開発元の評価では「Important」です。

• HTTP/2で非同期処理中にエラーが起きたあと、リクエストとレスポンスの対応が入れ替わってしまう問題
• JNDIRealmで、GSSAPI以外のSASL方式を使った場合に、バインド時の認証情報の検証が失敗しても通過扱いになってしまう問題
• AJP接続でレスポンスが取り違えられる問題

残る5件は開発元の評価で「Low」です。TLS 1.3で接続に失敗する可能性、HTTP/2のトレーラーヘッダーが別の通信に混入する問題、JSPのJSTLタグ「<c:redirect>」でページ処理が中断されない問題、OpenSSL-FFMでFIPS関連の失敗があっても起動が止まらない問題、Unix Domain Socketの権限設定に関する以前の修正がAPRコネクターに及んでいなかった問題が挙げられています。

これらの不具合を突かれた場合に攻撃者が具体的に何をできるのか、詳しい攻撃手法や想定される被害については、現時点で明らかになっていません。

影響を受けるバージョンと修正版

影響を受けるのは、サポートが続いているv9、v10、v11の各系統です。8件すべてが、10月12日に公開されたv9.0.123、v10.1.61、v11.0.27で修正されています。

悪用や被害は出ているのか

実際の攻撃や被害が確認されたかどうかは、現時点で明らかになっていません。

利用者は何をすればよいか

Tomcatを運用している場合は、使っている系統に合わせて上記の修正版へ更新することで対処できます。また、v9.0系統は2027年3月31日でサポートが終わる予定のため、v9を使い続けている環境では今後の移行計画も必要になります。

注目ポイント

Tomcatは多くの業務システムやWebサービスの土台として使われており、修正の対象が現行の3系統すべてにまたがる点が関心を集めています。Tomcatの重大な脆弱性は今年に入って7月、8月、9月にも相次いで報じられており、短い間隔で更新対応が続いていることも注目点です。サポート終了が近づくv9系統の扱いも、今後の焦点になりそうです。

ネットでの反応

SNSでは、今回もHTTP/2に関わる不具合が目立つと受け止める声があり、Tomcatを直接外部に公開せず、別のWebサーバーの背後に置いて運用したいという意見が出ています。また、脆弱性への対応が立て続けに求められる状況に、システム担当者の負担を気遣う投稿も見られます。

参考記事

• 「Apache Tomcat」に最大深刻度“CRITICAL”の脆弱性 ~v9 / v10 / v11系統に修正版/窓の杜　2026年10月22日 08:31

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。