Apache Tomcat 11.0.25を公開 — 認証バイパスやDoSなど11件の脆弱性を修正

Apache Software FoundationのTomcatプロジェクトは2026年8月18日、Apache Tomcat 11.0.25を公開した。プロジェクトが運営するセキュリティページで明らかにしたもので、認証バイパスやサービス拒否（DoS）を含む11件の脆弱性を修正する。修正は7月中旬から下旬までに報告された不具合を中心に、Tomcat 11.0系の幅広いバージョンに影響する。

何が修正されたか

Apacheが「Fixed in Apache Tomcat 11.0.25」として公表した11件は、重要度がImportant 3件、Moderate 1件、Low 7件に分かれる。いずれも2026年6月から7月にTomcatセキュリティチームへ報告され、2026年8月25日に公開された。主な修正は次のとおりだ。

• CVE-2026-68569: Important — Principal lookup could fail open（認証バイパス） — CLIENT-CERTやSPNEGOなどの認証方式で、DataSourceRealmに存在しないユーザーでも認証が成功してしまう不具合だ。Tomcatはコミット790d6e2cで修正したと説明している。
• CVE-2026-68763: Important — HTTP/2のバックログ管理でのDoS — HTTP/2のストリームがリセットされた際の割り当てリークを突かれると、攻撃者にサービス拒否を引き起こされるおそれがある。修正はコミット2a5ec806だ。
• CVE-2026-65182: Important — セキュリティ制約のバイパス — より長いパスに対する制約を先に記述し、短いサブパスでより厳しい制約を記述した場合に、制約が迂回される不具合だ。修正はコミット8bafd79aだ。
• CVE-2026-65927: Important — RewriteValveの[N]フラグの不具合によるアクセス制御バイパス — 1つずれ（off-by-one）の誤りで、[N]フラグ付きの書き換え処理が最初のルールではなく2番目のルールから再開され、アクセス制御を迂回できるおそれがあった。修正はコミットbce83410とb80929d6だ。
• CVE-2026-65637: Moderate — HTTP/2でのSNI検証バイパス — 厳格なSNI（Server Name Indication: 接続先ホスト名の検証）検証を、HTTP/2のauthorityなしリクエストで迂回できる不具合だ。CVE-2026-32990の修正が不完全だったことが原因で、コミット8639b20fで是正した。
• CVE-2026-73180: Low — 認証済みWebSocketセッションがHTTPセッション終了後も残存 — 認証済みHTTPセッションでWebSocket接続を確立した後にセッションIDを変更すると、HTTPセッション終了時にWebSocketセッションがJakarta WebSocket仕様どおりに閉じられない不具合だ。修正はコミットe617a5d4だ。
• そのほか、CVE-2026-68525（FORM認証でのHTTPメソッド制約の迂回）、CVE-2026-66422（security-role-refの誤ったエイリアス利用）、CVE-2026-66299（WebSocketチャット例での無制限バッファによるDoS）、CVE-2026-65905（DIGEST認証での限定的なリプレイ攻撃）、**CVE-2026-65183（Unix Domain Socket作成時のTOCTOU競合）**が含まれる。

いずれの脆弱性も、Tomcatのセキュリティチームが重要度を評価し、各修正を特定のコミットで公開している。影響を受けるバージョンは原則として11.0.0-M1から11.0.24で、一部は11.0.20以降やWebSocketの例を導入している環境に限定される。

影響を受けるバージョン

Apacheが公表した影響範囲は次のとおりだ。

• 11.0.0-M1から11.0.24: 上記11件の多くが該当する
• 11.0.20から11.0.24: CVE-2026-65637（HTTP/2 SNIバイパス）
• 11.0.0-M20から11.0.24の例（examples）導入環境: CVE-2026-66299（WebSocketチャット例のDoS）。Apacheは例のウェブアプリケーションを削除するというセキュリティガイダンスに従っている環境は影響を受けないと説明している

Tomcat 11.0系を利用している場合は、現在利用中のバージョンが11.0.24以前であれば11.0.25で修正される。

対応

Apache Tomcatプロジェクトは、修正を適用した11.0.25を公開済みとしており、該当バージョンを利用している場合は11.0.25への更新で各脆弱性が解消すると説明している。Apacheはバイナリパッチを提供しておらず、ソースからの適用が必要な場合はTomcatのビルド手順（building.html / BUILDING.txt）に従うよう案内している。

TomcatはJavaのサーブレットコンテナとして、企業のウェブアプリケーション基盤で広く利用されている。管理者は、開発・検証環境を含むTomcatの稼働バージョンを確認し、11.0.25への更新を計画したい。不明な脆弱性や説明が不完全な点については、Tomcatセキュリティチームへ非公開で報告するよう呼びかけている。

出典

• Apache Tomcat「Apache Tomcat 11.x vulnerabilities — Fixed in Apache Tomcat 11.0.25（2026年8月18日）」 https://tomcat.apache.org/security-11.html