📊 SecuPortal 日次脆弱性ダイジェスト

2026-09-15 11:00:52 生成 · 2026-09-09〜2026-09-15 (7日分)
新規 KEV 0 | 更新ソフト 1 | 対象期間 7日 | 生成 2026-09-15 11:00:52

📦 更新された主要ソフトウェア


製品新バージョンリリース日CVE件数CriticalHighKEV状態
tomcat9.0.1222026-09-10258121⚠️要確認

非主要製品 の更新: 0件（OS ディストリ / Alpine 派生など、要対応度は低い）


🔴 ★★★ 要対応 CVE


CVE ID製品CVSSKEVAV推奨アクション
CVE-2026-65637Apache Tomcat 9.09.8不明不明パッチ即時
CVE-2026-65905Apache Tomcat 9.09.8不明不明パッチ即時
CVE-2026-59083Apache Tomcat 9.09.1不明不明検証環境で PoC 確認

  • 注記: 今回のダイジェストには CVE 単位の is_remote / KEV フラグ / 攻撃元区分 (AV) が含まれていないため、AV・KEV 列は「不明」としています。cve_stats.kev=1 より 25 件のうち 1 件が KEV 該当の可能性がありますが、どの CVE かは本データでは特定できません（kev_new は空）。該当 CVE の特定は Apache Tomcat 公式アドバイザリおよび CISA KEV カタログでの確認が必要です。
  • Tomcat は自社の運用対象（主要製品）であり、CVSS 9.0 以上が 3 件含まれるため、上記 3 件は暫定的に ★★★ として扱っています。

    • 🟠 ★★ 参考 CVE


    展開して表示 (0件)
  • 明細が提供された 3 件はすべて ★★★ に分類したため、★★ 該当は 0 件です。
  • 残る 22 件（Critical 5 / High 12 / Medium 4 / Low 1 相当）は CVE ID がダイジェストに含まれておらず、個別評価ができていません。9.0.122 の変更履歴と公式アドバイザリで内容を確認することを推奨します。


    • 📝 AI 全体サマリ


    展開して読む
  • 全体トレンド: 今週のダイジェストは Apache Tomcat 9.0 系の 9.0.122 リリース 1 件のみで、KEV 新規追加 (kev_new) はありませんでした。一方でこの 1 件に Critical 8 件・High 12 件が集中しており、累積修正を含むまとめてのリリースである可能性があります。自社の運用対象に直接該当するため、今週は実質「Tomcat 一点集中」の対応週になると考えられます。
  • 特記事項:

    • - 9.0 系の EOL は 2027-03-31 です。半年強で延長サポート切れとなるため、パッチ適用とは別に 10.1 系以降への移行計画の検討を推奨します。

    - cve_stats.kev=1 は、少なくとも 1 件が実際に悪用されている可能性を示します。KEV 該当かどうかで対応期限が変わるため、優先して切り分けるのが有効と考えられます。

    - 本データには is_remote / AV / ransomware 情報が欠けており、優先度ランクは CVSS と製品重要度のみで暫定判定しています。SecuPortal 側でこれらのフィールドが取得できているか確認いただくと、次回以降の精度が上がる可能性があります。

  • PoC 検証を推奨する CVE: CVE-2026-59083（CVSS 9.1）。挙動が不明で、自社構成（リバースプロキシ配下か、AJP / WebSocket を有効化しているか等）で影響が変わる可能性があるため、検証環境での確認が有効と考えられます。exploit コードは公式アドバイザリと信頼できる PoC 公開を待ち、ここでは環境骨子のみ示します。

    • ```yaml

    # docker-compose.yml（検証骨子 / 隔離ネットワーク内で使用）

    services:

    tomcat-vuln:

    image: tomcat:9.0.121-jdk17 # 修正前バージョン（比較用）

    ports: ["18080:8080"]

    volumes:

    - ./webapps:/usr/local/tomcat/webapps

    - ./conf/server.xml:/usr/local/tomcat/conf/server.xml:ro

    networks: [lab]

    tomcat-fixed:

    image: tomcat:9.0.122-jdk17 # 修正後バージョン

    ports: ["18081:8080"]

    volumes:

    - ./webapps:/usr/local/tomcat/webapps

    - ./conf/server.xml:/usr/local/tomcat/conf/server.xml:ro

    networks: [lab]

    networks:

    lab:

    internal: true # 外部到達を禁止

    ```


    - 手順の骨子: 修正前/修正後の 2 本を同一設定で立て、公式アドバイザリ記載の影響コンポーネント（AJP コネクタ、RemoteIpValve、デフォルトサーブレット等）を自社構成に合わせて server.xml で再現 → 差分挙動を比較、という流れを想定しています。

    - 検証は internal: true の隔離ネットワークで行い、本番と同一の認証情報・証明書は投入しないことを推奨します。



    原本データ (JSON) — 表示するにはクリック 
    {
  "range": {
    "from": "2026-09-09",
    "to": "2026-09-15",
    "days": 7
  },
  "summary": {
    "total_kev_new": 0,
    "total_software_update": 1,
    "by_date": {
      "2026-09-11": {
        "kev_new": 0,
        "software_update": 1
      }
    }
  },
  "kev_new": [],
  "software_update": [
    {
      "digest_date": "2026-09-11",
      "key": "tomcat:9.0",
      "product": "tomcat",
      "category": "webserver",
      "cycle": "9.0",
      "latest": "9.0.122",
      "release_date": "2017-09-27",
      "latest_release_date": "2026-09-10",
      "eol_date": "2027-03-31",
      "support_date": null,
      "is_major_product": true,
      "cve_stats": {
        "total": 25,
        "critical": 8,
        "high": 12,
        "medium": 4,
        "low": 1,
        "kev": 1,
        "top_cves": [
          {
            "cve_id": "CVE-2026-65637",
            "severity": "CRITICAL",
            "score": 9.8
          },
          {
            "cve_id": "CVE-2026-65905",
            "severity": "CRITICAL",
            "score": 9.8
          },
          {
            "cve_id": "CVE-2026-59083",
            "severity": "CRITICAL",
            "score": 9.1
          }
        ]
      }
    }
  ]
}