Apache Tomcat の脆弱性（CVE-2026-34486）

何が起きた

Java のウェブアプリを動かすソフト Apache Tomcat に、大事なデータを暗号にしないまま扱ってしまう弱点が見つかり、実際に悪用が確認されています。別の弱点 CVE-2026-29146 の修正の誤りが原因で、EncryptInterceptor（クラスタのサーバーどうしの通信を暗号にする部品）をすり抜けられるようになっていました。ネットワーク経由で、ログインしていない攻撃者が悪用できる条件です。CISA は、この弱点が CVE-2025-24813 と組み合わせて悪用されるおそれがあるとしています（Apache の告知には記載がありません）。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Tomcat の 11.0.20、10.1.53、9.0.116 の3つの版を使っている組織が影響を受けます。EncryptInterceptor は、Tomcat のクラスタ（複数のサーバーでセッションを共有する機能）の設定で使う部品です。

何をすればいい

Tomcat を、使っている系列に合わせて 11.0.21、10.1.54、9.0.117 以降に更新してください。あわせて CVE-2025-24813 の修正も済んでいるか確かめましょう。

やることチェックリスト

• Tomcatのバージョンを確かめる
• 11.0.21か10.1.54か9.0.117以降にする
• CVE-2025-24813の修正も済んでいるか確かめる

用語メモ

Tomcat

Java で作ったウェブアプリを動かすための、よく使われるソフトです。

EncryptInterceptor

Tomcat のクラスタ（複数のサーバーでセッションを共有する仕組み）で、サーバーどうしの通信を暗号にする部品です。