CyberSecurityAction

脆弱性情報

Apache Tomcatに10件の脆弱性—セキュリティ制約バイパスと認証回避が複数経路で可能に

Apache Software Foundationが2026年8月25日にTomcatの10件の脆弱性を修正するセキュリティアドバイザリを公開。セキュリティ制約バイパス・RewriteValveによるアクセス制御回避・FORM認証後のメソッド制約スキップなど、Javaエンタープライズ環境への影響が広い。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
Apache Tomcatに10件の脆弱性—セキュリティ制約バイパスと認証回避が複数経路で可能に

THREAT GAUGE算出基準

IMPACT（影響範囲）8.0
URGENCY（対応緊急度）7.5
EXPLOIT（悪用の容易さ）7.0

“10件同時公開・セキュリティ制約バイパス複数・日本の企業システムに広く影響”

01 · Overview

ニュースの概要

Apache Software Foundationは2026年8月25日、Apache Tomcatの10件の脆弱性に対するセキュリティアドバイザリを公開した。含まれる脆弱性の中には、Webアプリケーションのアクセス制御の根幹を担うセキュリティ制約（security-constraint）を複数の経路でバイパスできるものが複数あり、正規ユーザーに見せかけた不正アクセスや、認証後に追加の認可チェックが回避される問題も含まれる。Tomcatは日本国内のJavaエンタープライズシステムで広く採用されており、Tomcat 11.0.25、10.1.59、9.0.121への更新が強く推奨される。

今回修正された10件は、セキュリティ制約の適用不備（CVE-2026-65182）、RewriteValveのアクセス制御バイパス（CVE-2026-65927）、サーブレットのロール参照による宣言的制約回避（CVE-2026-66422）、FORM認証後リダイレクトでのメソッド制約スキップ（CVE-2026-68525）、WebSocketセッション永続化（CVE-2026-73180）、DIGEST認証のリプレイ攻撃（CVE-2026-65905）、HTTP/2 SNI検証バイパス（CVE-2026-65637）など、多岐にわたる認証・認可関連の実装不備が対象となっている。

特に深刻なのはセキュリティ制約バイパス系の脆弱性群であり、web.xml等で定義したアクセス制御ポリシーが特定の条件下で機能しなくなる点である。Webアプリケーションの認可設計がTomcat側の機能に依存している場合、これらの脆弱性は管理画面や内部APIへの不正アクセスを可能にする。

CVE-2026-73180（WebSocketセッション永続化）は独立した性質の問題で、認証済みHTTPセッションが終了してもWebSocket接続が継続するため、セッション無効化によるアクセス終了を期待した設計が機能しなくなる。シングルサインアウトや強制ログアウトの仕組みを実装しているアプリケーションでは特に注意が必要だ。

脆弱性件数
10件（2026年8月25日公開）
代表CVE
CVE-2026-65182（制約バイパス）他9件
修正バージョン
11.0.25・10.1.59・9.0.121
脆弱性の種別
セキュリティ制約バイパス・認証回避・DoS
影響範囲
Java Webアプリ（Tomcat使用の全環境）
悪用状況
現時点で野放し悪用の報告なし

Apache Software Foundation公式セキュリティアドバイザリ（2026-08-25）およびJVNVU#96149019に基づく。各CVEのCVSSスコアはApache側が個別非公開のため詳細は各アドバイザリを参照。

02 · Analysis

詳細な原因解説

Apache Tomcatはアクセス制御にweb.xmlやserver.xmlで定義された「セキュリティ制約（security-constraint）」と「セキュリティロール（security-role）」の仕組みを使用する。CVE-2026-65182はこの制約が特定の条件下で適用されないまま処理が続行する実装上の不備であり、宣言的な設定によるアクセス制御が無効化される。CVE-2026-66422はサーブレットのセキュリティロール参照が宣言的ロール制約を迂回できる問題で、ロールベースのアクセス制御の信頼性が損なわれる。

CVE-2026-65927はRewriteValveの`[N]`フラグ（ルール再評価フラグ）の処理に問題がある。このフラグを使用したURL書き換えルールで評価が2番目のルールから再開される挙動により、最初のルールで実施されるはずだったアクセス制御チェックが回避されうる。RewriteValveを用いた複雑なURL制御を実施しているアプリケーションでは、意図しないリソースへのアクセスが可能になる可能性がある。

CVE-2026-68525はFORM認証フロー完了後のリダイレクト処理でメソッド固有の制約（HTTPメソッドによるアクセス制限）が再評価されない問題である。FORM認証ではユーザーがログインフォームに認証情報を送信した後、元のリクエストURLへリダイレクトされる。このリダイレクト処理でメソッド制約の再チェックが行われないため、攻撃者は本来アクセスできないHTTPメソッド（PUT・DELETE等）でのアクセスが可能になりうる。CVE-2026-73180のWebSocketセッション永続化問題は、HTTPセッション失効後もWebSocket接続が維持されることで、セッション終了による認可状態のリセットが機能しなくなるものである。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

宣言的アクセス制御の信頼性低下が招くシステム全体のリスク

Q. Tomcatのセキュリティ制約バイパスはアプリケーション設計にどう影響するか？

多くのJava Webアプリケーションは「アプリケーションコードに認可ロジックを書かず、Tomcatの宣言的制約に任せる」設計を採用している。これは開発効率と保守性を高める正当な設計だが、今回の脆弱性群によってその前提が崩れる。CVE-2026-65182・CVE-2026-66422・CVE-2026-65927はいずれもこの「宣言的制約の信頼性」に対する攻撃であり、アプリケーションコード側で追加の認可チェックを行っていない場合、不正アクセスを検知できないまま機密リソースへのアクセスが通ってしまうリスクがある。アップデートが完了するまでの間は、重要エンドポイントへのアクセスログを強化監視することが有効だ。

FORM認証フローの制約バイパスを防ぐ設計の改善

Q. CVE-2026-68525を踏まえ、FORM認証の認可モデルはどう改善すべきか？

CVE-2026-68525はFORM認証後リダイレクト時のメソッド制約再評価の欠如である。これはTomcatのミドルウェア層での修正で解決されるが、根本的な改善策としては「メソッドによるアクセス制御をアプリケーション層（Spring SecurityのHasRole/hasAuthority等）でも実施する」二重防御（Adapt：機能を既存レイヤーに適用する）の設計が効果的だ。ミドルウェアの認可とアプリケーション層の認可を多層化することで、単一レイヤーの脆弱性が全体の認可崩壊につながるリスクを軽減できる。

アップデート優先度と多層防御の判断基準

インターネットに直接公開されているTomcatサーバーと、機密データ（個人情報・決済情報・内部API）を扱うアプリケーションを最優先でアップデートすべきである。内部LANのみで稼働し、かつ機密性の低いアプリケーションは計画的なアップデートを次週中に実施することで許容範囲内に抑えられる。

アップデートが完了するまでの緩和策として、重要なエンドポイントへのアクセスログをリアルタイムで監視し、通常のアクセスパターンから外れたHTTPメソッドやURLパターンへのアクセスを異常検知の対象に加えることを推奨する。また、RewriteValveを使用していない環境では該当脆弱性の影響は限定的であり、優先度の調整が可能だ。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のシステム管理者である。社内でApache Tomcat [バージョン]を[台数]台運用しており、2026年8月25日に10件の脆弱性（代表：CVE-2026-65182 セキュリティ制約バイパス）が公開された。以下の対応計画を策定せよ：①現行バージョンと影響CVEの特定、②システムの公開範囲と機密性に基づくアップデート優先度の決定、③RewriteValveおよびFORM認証使用有無の確認方法と優先対応手順。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の正式名称

自組織の業種

運用中のTomcatバージョン

Tomcatサーバーの総台数

キーワード

  • Apache Tomcat
  • CVE-2026-65182
  • セキュリティ制約バイパス
  • RewriteValve
  • FORM認証

SOURCES · 参考情報源