📊 SecuPortal 日次脆弱性ダイジェスト
新規 KEV 0
|
更新ソフト 3
|
対象期間 7日
|
生成 2026-09-14 11:01:02
📦 更新された主要ソフトウェア
| 製品 | 新バージョン | リリース日 | CVE件数 | Critical | High | KEV | 状態 |
|---|---|---|---|---|---|---|---|
| tomcat | 9.0.122 (9.0系) | 2026-09-10 | 25 | 8 | 12 | 1 | ⚠️要確認 |
| eclipse-jetty | 12.1.13 (12.1系) | 2026-09-07 | 8 | 0 | 5 | 0 | 🟠重要 |
| eclipse-jetty | 12.0.39 (12.0系) | 2026-09-07 | 8 | 0 | 5 | 0 | 🟠重要 |
非主要製品 の更新: 0件（今回の取得範囲では OS ディストリ / Alpine 派生などの更新は含まれていない）
🔴 ★★★ 要対応 CVE
| CVE ID | 製品 | CVSS | KEV | AV | 推奨アクション |
|---|---|---|---|---|---|
| CVE-2026-65637 | Apache Tomcat 9.0 | 9.8 | ?(※) | N(推定) | パッチ即時 |
| CVE-2026-65905 | Apache Tomcat 9.0 | 9.8 | ?(※) | N(推定) | パッチ即時 |
| CVE-2026-59083 | Apache Tomcat 9.0 | 9.1 | ?(※) | N(推定) | 検証環境で PoC 確認 |
※ 入力データには is_remote / ransomware フィールドおよび CVE 単位の KEV 該当フラグが含まれていません。Tomcat の集計値では kev=1（25件中1件が KEV 収録）となっていますが、どの CVE が該当するかは特定できません。また kev_new は空配列のため、本期間に新規 KEV 追加された CVE は無い可能性があります。AV 列の「N」は Tomcat が外部公開されるサーブレットコンテナである点からの推定で、確定情報ではありません。実際の攻撃ベクタ・KEV 該当状況は Apache 公式アドバイザリおよび CISA KEV カタログで確認してください。 検証の結果 is_remote=false であれば、CVE-2026-59083（9.1）は ★★ 相当に下がる可能性があります。
🟠 ★★ 参考 CVE
展開して表示 (0件)
📝 AI 全体サマリ
展開して読む
全体トレンド (2〜3文)
本期間（2026-09-08〜09-14）の更新は Java 系 Web サーバ／サーブレットコンテナに集中しており、Tomcat 9.0.122 と Jetty 12.0/12.1 系の 3 件がいずれも主要製品として検出されました。特に Tomcat 9.0 系は Critical 8 件・High 12 件と累積 CVE 数が多く、9.0 系の EOL が 2027-03-31 に設定されている点も踏まえると、パッチ適用と並行して 10.1 系以降への移行検討が必要になる可能性があります。Jetty は Critical・KEV ともに 0 件で、いずれも CVSS 7.5 の High 止まりであるため、緊急性は相対的に低いと考えられます。
特記事項
cve_stats.kev=1 は集計値のみで、CVE 単位の KEV 該当が特定できていません。Tomcat は外部公開される構成が多いため、該当 CVE の特定を優先課題として扱うことを推奨します（CISA KEV カタログおよび Apache Tomcat Security ページで突合）。eol_date は false（EOL 未設定）で、現時点でサポート継続中と読めます。is_remote / ransomware / CVE 単位 KEV フラグが欠落しており、優先度判定を完全には適用できていません。次回以降の取得でこれらのフィールドが含まれると、★★★ 判定の精度が上がると考えられます。PoC 検証を推奨する CVE と環境構築の骨子
CVE-2026-59083（Tomcat 9.0, CVSS 9.1）について、脆弱性検証環境での挙動確認を推奨します。以下は環境構築の骨子のみで、exploit コードは含みません。実際の検証手順は公式アドバイザリに記載された影響条件（対象コネクタ、設定オプション等）を確認してから組み立ててください。
# docker-compose.yml（骨子: 脆弱版と修正版を並べて差分を観察する構成）
services:
tomcat-vuln:
image: tomcat:9.0.121-jdk17 # 修正前バージョン（公式アドバイザリで影響範囲を確認のうえ選定）
ports: ["18080:8080"]
volumes:
- ./webapps-test:/usr/local/tomcat/webapps # 検証用の最小 WAR のみ配置
- ./conf/server.xml:/usr/local/tomcat/conf/server.xml:ro
networks: [lab]
tomcat-fixed:
image: tomcat:9.0.122-jdk17 # 修正版
ports: ["18081:8080"]
volumes:
- ./webapps-test:/usr/local/tomcat/webapps
- ./conf/server.xml:/usr/local/tomcat/conf/server.xml:ro
networks: [lab]
networks:
lab:
driver: bridge
internal: true # 外部到達不可の閉域で検証すること
検証時の留意点:
internal: true の閉域ネットワークで実施し、ホストへのポート公開は検証端末のループバックに限定することを推奨します。catalina.out の差分を比較する形にすると、影響有無の判断材料になります。server.xml に反映しないと、影響有無の判定を誤る可能性があります。原本データ (JSON) — 表示するにはクリック
{
"range": {
"from": "2026-09-08",
"to": "2026-09-14",
"days": 7
},
"summary": {
"total_kev_new": 0,
"total_software_update": 3,
"by_date": {
"2026-09-11": {
"kev_new": 0,
"software_update": 1
},
"2026-09-08": {
"kev_new": 0,
"software_update": 2
}
}
},
"kev_new": [],
"software_update": [
{
"digest_date": "2026-09-11",
"key": "tomcat:9.0",
"product": "tomcat",
"category": "webserver",
"cycle": "9.0",
"latest": "9.0.122",
"release_date": "2017-09-27",
"latest_release_date": "2026-09-10",
"eol_date": "2027-03-31",
"support_date": null,
"is_major_product": true,
"cve_stats": {
"total": 25,
"critical": 8,
"high": 12,
"medium": 4,
"low": 1,
"kev": 1,
"top_cves": [
{
"cve_id": "CVE-2026-65637",
"severity": "CRITICAL",
"score": 9.8
},
{
"cve_id": "CVE-2026-65905",
"severity": "CRITICAL",
"score": 9.8
},
{
"cve_id": "CVE-2026-59083",
"severity": "CRITICAL",
"score": 9.1
}
]
}
},
{
"digest_date": "2026-09-08",
"key": "eclipse-jetty:12.0",
"product": "eclipse-jetty",
"category": "webserver",
"cycle": "12.0",
"latest": "12.0.39",
"release_date": "2023-08-07",
"latest_release_date": "2026-09-07",
"eol_date": "false",
"support_date": "true",
"is_major_product": true,
"cve_stats": {
"total": 8,
"critical": 0,
"high": 5,
"medium": 2,
"low": 1,
"kev": 0,
"top_cves": [
{
"cve_id": "CVE-2026-10051",
"severity": "HIGH",
"score": 7.5
},
{
"cve_id": "CVE-2024-7708",
"severity": "HIGH",
"score": 7.5
},
{
"cve_id": "CVE-2026-1605",
"severity": "HIGH",
"score": 7.5
}
]
}
},
{
"digest_date": "2026-09-08",
"key": "eclipse-jetty:12.1",
"product": "eclipse-jetty",
"category": "webserver",
"cycle": "12.1",
"latest": "12.1.13",
"release_date": "2025-08-18",
"latest_release_date": "2026-09-07",
"eol_date": "false",
"support_date": "true",
"is_major_product": true,
"cve_stats": {
"total": 8,
"critical": 0,
"high": 5,
"medium": 2,
"low": 1,
"kev": 0,
"top_cves": [
{
"cve_id": "CVE-2026-1605",
"severity": "HIGH",
"score": 7.5
},
{
"cve_id": "CVE-2024-7708",
"severity": "HIGH",
"score": 7.5
},
{
"cve_id": "CVE-2026-10051",
"severity": "HIGH",
"score": 7.5
}
]
}
}
]
}