「Apache Tomcat」に複数脆弱性 - 4件は「クリティカル」との評価も

ウェブアプリケーションサーバ「Apache Tomcat」に11件の脆弱性が判明した。開発チームは4件を「重要」とする一方、CISAによる評価では4件が「クリティカル」相当とされるなど評価に差異が見られる。

開発チームは、2026年8月18日から同月20日にかけて「Apache Tomcat 11.0.25」「同10.1.59」「同9.0.121」をリリースしたもの。先行して7月28日に公表された「CVE-2026-66299」にくわえ、セキュリティチームは8月25日に、これらリリースで対応した10件の脆弱性に関する情報を公開した。

開発チームが「重要（Important）」とレーティングした脆弱性は4件。「CVE-2026-65182」では、パスに設定されているセキュリティ制限の評価順序によって、より厳しい制限が回避可能となる。オフバイワンエラーによりアクセス制御をバイパスされるおそれがある「CVE-2026-65927」が判明した。

また一部認証方式において存在しないユーザーでも認証が成立する「CVE-2026-68569」、HTTP/2ストリームをリセットした際にリソースがリークし、サービス拒否を引き起こす「CVE-2026-68763」が判明している。くわえて「中（Moderate）」とされる1件、「低（Low）」とされる6件へ対処したとしている。

一方、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）における共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、「CVE-2026-65637」「CVE-2026-65905」が「9.8」、「CVE-2026-65182」「CVE-2026-68525」が「9.1」で、いずれも「クリティカル（Critical）」相当となっている。

「Apache Tomcat」のセキュリティチームではそれぞれ「中」「低」「重要」「低」としており、評価に隔たりが見られる。今回のアップデートで修正された脆弱性は以下のとおり。

CVE-2026-65182
CVE-2026-65183
CVE-2026-65637
CVE-2026-65905
CVE-2026-65927
CVE-2026-66299
CVE-2026-66422
CVE-2026-68525
CVE-2026-68569
CVE-2026-68763
CVE-2026-73180

（Security NEXT - 2026/08/27 ）ツイート

「Apache Tomcat」に複数脆弱性 - 4件は「クリティカル」との評価も

関連リンク

PR

関連記事