【緊急セキュリティ情報】Apache Tomcatに深刻な脆弱性8件 認証回避・HTTP/2の応答混同・情報漏洩のリスク 企業の業務システム、金融機関、官公庁などで利用されるJavaアプリケーション基盤では、優先的な影響調査が必要です。 企業が直ちに確認すべき事項 優先順位は次のとおりです。 優先度1：影響範囲の特定 Tomcatのバージョンを確認する。 JNDIRealmとSASL認証の利用状況を確認する。 HTTP/2と非同期Servletの利用状況を確認する。 AJP Connectorの利用状況を確認する。 優先度2：修正版への更新 Tomcat 9 → 9.0.123 Tomcat 10.1 → 10.1.61 Tomcat 11 → 11.0.27 優先度3：侵害の兆候を調査 認証ログの異常を確認する。 アクセスログとアプリケーションログを相関分析する。 不自然なセッション操作やレスポンス異常を調査する。 必要に応じて情報漏洩の可能性を評価する。 ただし、アクセスログだけでレスポンス本文の混同を確実に検出できるとは限りません。 また、今回の脆弱性が悪用されたことを示す具体的な痕跡が必ず残るとも限りません。 パッチ適用と侵害調査は、別々の対応として実施する必要があります。 最も警戒すべき3つの脆弱性 ① CVE-2026-101296：認証バイパス CVSS 4.0：9.1 CRITICAL 今回、特に注目すべき脆弱性です。 TomcatのJNDIRealmで、GSSAPI以外のSASL認証方式を使用している場合、正しいパスワードを提示しなくても認証が成功する可能性があります。 これは認証処理が失敗を適切に拒否しない、いわゆるFail Openの問題です。 影響は、JNDIRealmの該当する認証構成を採用している環境に限定されます。 したがって、Tomcatを利用しているだけで、すべてのシステムに認証バイパスが成立するわけではありません。 ただし、該当する環境では認証という基本的なセキュリティ境界が突破される可能性があります。 公式情報では、サポート終了済みのTomcat 7および8.5にも影響することが確認されています。 ② CVE-2026-101356：HTTP/2のリクエスト・レスポンス混同 CVSS 3.1：9.1 CRITICAL HTTP/2と非同期Servlet処理に関連する脆弱性です。 Tomcat内部でオブジェクトの再利用が不適切に行われることで、異なる利用者のリクエストやレスポンスが混同される可能性があります。 重要なのは、HTTP/2を利用しているすべての環境で無条件に発生する問題ではないという点です。 非同期Servlet処理など、特定の条件が関係します。 しかし、条件が成立すると、本来別の利用者に返されるべき情報が混入する可能性があります。 これは、Webアプリケーションにおける利用者間のデータ分離が破綻するリスクを意味します。 ③ CVE-2026-103119：AJPレスポンス混同 CVSS 3.1：9.1 CRITICAL Tomcat 11の一部バージョンに影響します。 AJP通信におけるバッファ処理の問題により、あるリクエストのレスポンス本文が、次のリクエストのレスポンスに混入する可能性があります。 AJPはWebサーバーとTomcatを連携させる際に使用されるプロトコルです。 今回の問題では、大きな非ブロッキング書き込みが関係します。 そのため、AJPを使用しているという理由だけで直ちに情報漏洩が発生するわけではありません。 ただし、該当構成では、利用者間の情報分離という重要なセキュリティ要件が損なわれる可能性があります。