📊 SecuPortal 日次脆弱性ダイジェスト
📦 更新された主要ソフトウェア
| 製品 | 新バージョン | リリース日 | CVE件数 | Critical | High | KEV | 状態 |
|---|---|---|---|---|---|---|---|
| tomcat | 9.0.122 | 2026-09-10 | 25 | 8 | 12 | 1 | ⚠️要確認 |
非主要製品 の更新: 0件（今回のダイジェスト範囲には OS ディストリ / Alpine 派生などの更新は含まれていない）
🔴 ★★★ 要対応 CVE
| CVE ID | 製品 | CVSS | KEV | AV | 推奨アクション |
|---|---|---|---|---|---|
| CVE-2026-65637 | Apache Tomcat 9.0 | 9.8 | 要確認 | N(推定) | パッチ即時 |
| CVE-2026-65905 | Apache Tomcat 9.0 | 9.8 | 要確認 | N(推定) | パッチ即時 |
| CVE-2026-59083 | Apache Tomcat 9.0 | 9.1 | 要確認 | N(推定) | 検証環境で PoC 確認 |
※ 入力データには CVE 単位の KEV フラグ・攻撃元区分（AV）が含まれておらず、上表の KEV / AV は確定情報ではありません。cve_stats.kev=1 から本製品の CVE 群のうち 1 件が KEV 収録である可能性がありますが、該当 CVE が特定できないため、3 件すべてを暫定的に ★★★ として扱っています。AV は Tomcat がネットワーク境界に面するサーバ製品であることからの推定値です。CISA KEV および Apache 公式アドバイザリ（Apache Tomcat Security 9.x ページ）で各 CVE の実際の KEV 収録状況・CVSS ベクタを確認してください。
🟠 ★★ 参考 CVE
展開して表示 (0件・ただし未列挙 CVE に関する注記あり)
top_cves に列挙されているのは 3 件のみです。残る Critical 5 件・High 12 件（計 17 件）は CVE ID が本ダイジェストに含まれていないため、優先度判定ができていません。これらの中に ★★ 相当、あるいは ★★★ 相当が含まれている可能性があります。Apache 公式アドバイザリで 9.0.122 の修正 CVE 一覧を突き合わせることを推奨します。📝 AI 全体サマリ
展開して読む
全体トレンド（2〜9/10〜09/16）
今週のダイジェストは更新情報が 1 件に絞られており、その 1 件が自社運用対象の主要製品である Apache Tomcat 9.0 系である点が特徴です。新規 KEV 追加（kev_new）は 0 件で、外部で新たに悪用確認された脆弱性の流入は今週なかった可能性があります。ただし tomcat 側の 1 件について KEV 収録の可能性が残っており、単純に「静かな週」と判断するのは早い可能性があります。Ivanti / Cisco / Oracle PeopleSoft / Splunk 等のエンタープライズ機器系の情報は今回含まれていないため、自社運用対象外による除外判断は今週は発生していません。
特記事項
javax.* → jakarta.* 名前空間移行）への移行計画**を起こしておくべき時期に入っています。移行にはアプリ側の import 書き換えが伴うため、リードタイムを長めに見る必要があります。PoC 検証を推奨する CVE
CVE-2026-59083（CVSS 9.1）は、スコアの割に top_cves 内で最も低く、影響条件（特定コネクタ設定・特定アプリ構成に依存する等）が絞られている可能性があります。自社構成で実際に成立するかを検証環境で確認する価値があると考えます。以下は検証環境の骨子です（実際の攻撃コード / PoC は含めません。公式アドバイザリで影響条件を確認したうえで、正規の再現手順に沿って検証してください）。
# docker-compose.yml — Tomcat 9.0 脆弱版 vs 修正版の挙動比較用（骨子）
services:
tomcat-vuln:
image: tomcat:9.0.121-jdk11-temurin # 修正前（要: 実際の脆弱版タグを確認）
ports: ["8081:8080"]
volumes:
- ./webapps:/usr/local/tomcat/webapps:ro
- ./conf/server.xml:/usr/local/tomcat/conf/server.xml:ro
environment:
CATALINA_OPTS: "-Dorg.apache.catalina.level=FINE"
tomcat-fixed:
image: tomcat:9.0.122-jdk11-temurin # 修正後
ports: ["8082:8080"]
volumes:
- ./webapps:/usr/local/tomcat/webapps:ro
- ./conf/server.xml:/usr/local/tomcat/conf/server.xml:ro
# 自社構成の再現用。リバースプロキシ経由かどうかで
# 成立条件が変わる脆弱性（スマグリング系等）の切り分けに使う
proxy:
image: nginx:1.28-alpine
ports: ["8080:80"]
volumes:
- ./nginx.conf:/etc/nginx/nginx.conf:ro
depends_on: [tomcat-vuln, tomcat-fixed]
検証の進め方（骨子）:
1. conf/server.xml と webapps/ を本番相当（コネクタ種別 HTTP/AJP、allowTrace、maxHttpHeaderSize、デプロイ済みアプリ）に寄せる。デフォルト構成では再現しない脆弱性が多いためここが要点です。
2. 公式アドバイザリ記載の影響条件（対象コンポーネント / 必要な設定値）を確認し、自社 server.xml が条件に合致するかをまず静的に判定する。合致しなければ検証自体が不要になる可能性があります。
3. 合致する場合のみ、vuln / fixed の 2 ポートに同一の正規リクエストを流し、アクセスログ・catalina.out の差分を比較する。
4. プロキシ経由（8080）と直接（8081/8082）で挙動が変わるかを確認し、nginx 側での緩和（ヘッダ正規化・不正リクエスト拒否）が有効かを判断する。
なお、脆弱版イメージタグは公開状況により入手できない場合があります。その際は apache/tomcat の公式アーカイブからのバイナリ配置に切り替える必要があります。
原本データ (JSON) — 表示するにはクリック
{
"range": {
"from": "2026-09-10",
"to": "2026-09-16",
"days": 7
},
"summary": {
"total_kev_new": 0,
"total_software_update": 1,
"by_date": {
"2026-09-11": {
"kev_new": 0,
"software_update": 1
}
}
},
"kev_new": [],
"software_update": [
{
"digest_date": "2026-09-11",
"key": "tomcat:9.0",
"product": "tomcat",
"category": "webserver",
"cycle": "9.0",
"latest": "9.0.122",
"release_date": "2017-09-27",
"latest_release_date": "2026-09-10",
"eol_date": "2027-03-31",
"support_date": null,
"is_major_product": true,
"cve_stats": {
"total": 25,
"critical": 8,
"high": 12,
"medium": 4,
"low": 1,
"kev": 1,
"top_cves": [
{
"cve_id": "CVE-2026-65637",
"severity": "CRITICAL",
"score": 9.8
},
{
"cve_id": "CVE-2026-65905",
"severity": "CRITICAL",
"score": 9.8
},
{
"cve_id": "CVE-2026-59083",
"severity": "CRITICAL",
"score": 9.1
}
]
}
}
]
}