📊 SecuPortal 日次脆弱性ダイジェスト
📦 更新された主要ソフトウェア
| 製品 | 新バージョン | リリース日 | CVE件数 | Critical | High | KEV | 状態 |
|---|---|---|---|---|---|---|---|
| tomcat | 9.0.122 | 2026-09-10 | 25 | 8 | 12 | 1 | ⚠️要確認 |
非主要製品 の更新: 0件（OS ディストリ / Alpine 派生など、要対応度は低い）
🔴 ★★★ 要対応 CVE
本日の要対応該当なし
※ KEV 新規追載の 3 件（Google Pixel / Cisco ISE / Acronis Backup）はいずれも is_major_product=false であり、★★★ の判定条件（is_major_product=true）を満たしません。ただし tomcat 9.0.122 の top_cves に挙がる CVE-2026-65637 / CVE-2026-65905（いずれも CVSS 9.8）および KEV 該当 1 件については、個別 CVE のメタデータ（KEV 該当の特定、attack_vector 等）が本ダイジェストの入力に含まれていないため ★★★ として確定できていません。実際には要対応相当となる可能性があるため、公式アドバイザリ（Apache Tomcat Security Advisory / CISA KEV カタログ）で該当 CVE の詳細を確認することを推奨します。
🟠 ★★ 参考 CVE
展開して表示 (3件)
📝 AI 全体サマリ
展開して読む
- Tomcat 9.0 系は eol_date が 2027-03-31 であり、EOL まで約 1 年半。現在 9.0 系を運用している場合、今回の 9.0.122 適用と併せて Tomcat 10.1 以降への移行計画の着手を検討しておくとよい可能性がある。
- 本ダイジェストでは Tomcat の個別 CVE について KEV 該当フラグ・attack_vector・EPSS が展開されていない。CVE-2026-65637 / CVE-2026-65905（CVSS 9.8）および CVE-2026-59083（CVSS 9.1）が実際にリモート悪用可能か、また KEV 該当 1 件がどの CVE かは Apache Tomcat Security Advisory および CISA KEV カタログで確認が必要。ここが確定すると ★★★ 判定が変わる可能性がある。
- Cisco ISE の CVE-2026-76460 は CVSS 未付与ながら「未認証リモートでの管理インタフェース迂回」という記述であり、一般には Critical 相当となる可能性がある。自社では非運用対象だが、取引先・グループ会社が ISE を利用している場合は情報共有の価値があると考えられる。
Tomcat 9.0 系の Critical 群（特に CVE-2026-65637 / CVE-2026-65905）について、公式アドバイザリで影響コンポーネント（コネクタ設定、セッション永続化、RemoteIpValve 等のどれか）が判明した段階で、隔離環境での再現性確認を推奨する。以下は検証環境の骨子のみ（exploit コードは含めない）。
```yaml
# docker-compose.yml（検証用・外部公開しないこと）
services:
tomcat-vuln:
image: tomcat:9.0.121-jdk17 # 修正前バージョンを固定して比較対象にする
ports:
- "127.0.0.1:8080:8080" # localhost バインド必須
volumes:
- ./conf/server.xml:/usr/local/tomcat/conf/server.xml:ro
- ./webapps:/usr/local/tomcat/webapps
networks: [lab]
tomcat-fixed:
image: tomcat:9.0.122-jdk17 # 修正後。同一条件で挙動差分を取る
ports:
- "127.0.0.1:8081:8080"
volumes:
- ./conf/server.xml:/usr/local/tomcat/conf/server.xml:ro
- ./webapps:/usr/local/tomcat/webapps
networks: [lab]
networks:
lab:
internal: true # 外向き通信を遮断
```
進め方の骨子:
1. 公式アドバイザリで影響条件（該当バージョン範囲・前提となる設定項目）を確定する。
2. 上記 vuln / fixed を同一 server.xml で起動し、アドバイザリ記載の影響条件が自社の実稼働設定に当てはまるかを設定ファイル差分で先に判定する（当てはまらなければ検証自体を省略できる可能性がある）。
3. 当てはまる場合のみ、アクセスログ・catalina.out の差分観測で挙動差を確認する。PoC が必要な場合は公開済みの検証手順の有無を確認し、自作の攻撃コードは用意しない。
4. 並行して、本番の Tomcat 稼働バージョン棚卸し（/opt 配下の展開版、コンテナイメージタグ、OS パッケージ版の混在に注意）を行い、9.0.122 適用対象を確定する。
原本データ (JSON) — 表示するにはクリック
{
"range": {
"from": "2026-09-11",
"to": "2026-09-17",
"days": 7
},
"summary": {
"total_kev_new": 3,
"total_software_update": 1,
"by_date": {
"2026-09-17": {
"kev_new": 3,
"software_update": 0
},
"2026-09-11": {
"kev_new": 0,
"software_update": 1
}
}
},
"kev_new": [
{
"digest_date": "2026-09-17",
"key": "CVE-2026-58704",
"cve_id": "CVE-2026-58704",
"vendor_project": "Google",
"product": "Pixel",
"vulnerability_name": "Google Pixel Improper Authorization Vulnerability",
"date_added": "2026-09-16",
"short_description": "Google Pixel devices contain an improper authorization vulnerability in the cellular modem. A logic error may allow an attacker to bypass permission checks and escalate privileges.",
"required_action": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.",
"due_date": "2026-09-19",
"known_ransomware": "Unknown",
"cvss_score": 8.8,
"cvss_severity": "HIGH",
"cvss_vector": "CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
"attack_vector": "A",
"is_remote": true,
"is_major_product": false,
"matched_product": null,
"title_en": "In Cellular Modem, there is a possible permission bypass due to a logic error in the code. This could lead to remote (proximal/adjacent) escalation of privilege with no additional execution privileges needed. User interaction is not needed for exploitation.",
"epss_score": 0.00112
},
{
"digest_date": "2026-09-17",
"key": "CVE-2026-76460",
"cve_id": "CVE-2026-76460",
"vendor_project": "Cisco",
"product": "Identity Services Engine",
"vulnerability_name": "Cisco Identity Services Engine Incorrect Use of Privileged APIs Vulnerability",
"date_added": "2026-09-16",
"short_description": "Cisco Identity Services Engine (ISE) and Cisco ISE Passive Identity Connector (ISE-PIC) contain an incorrect use of privileged APIs vulnerability that could allow an unauthenticated, remote attacker to gain unauthorized access to the affected device by bypassing the web-based management interface.",
"required_action": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.",
"due_date": "2026-09-19",
"known_ransomware": "Unknown",
"cvss_score": null,
"cvss_severity": null,
"cvss_vector": null,
"attack_vector": null,
"is_remote": null,
"is_major_product": false,
"matched_product": null,
"title_en": null,
"epss_score": null
},
{
"digest_date": "2026-09-17",
"key": "CVE-2026-87886",
"cve_id": "CVE-2026-87886",
"vendor_project": "Acronis",
"product": "Backup",
"vulnerability_name": "Acronis Backup Incorrect Default Permissions Vulnerability",
"date_added": "2026-09-16",
"short_description": "Acronis Backup plugin for cPanel & WHM and extension for Plesk contains an incorrect default permissions vulnerability that could allow for privilege escalation.",
"required_action": "Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.",
"due_date": "2026-09-19",
"known_ransomware": "Unknown",
"cvss_score": null,
"cvss_severity": null,
"cvss_vector": null,
"attack_vector": null,
"is_remote": null,
"is_major_product": false,
"matched_product": null,
"title_en": null,
"epss_score": null
}
],
"software_update": [
{
"digest_date": "2026-09-11",
"key": "tomcat:9.0",
"product": "tomcat",
"category": "webserver",
"cycle": "9.0",
"latest": "9.0.122",
"release_date": "2017-09-27",
"latest_release_date": "2026-09-10",
"eol_date": "2027-03-31",
"support_date": null,
"is_major_product": true,
"cve_stats": {
"total": 25,
"critical": 8,
"high": 12,
"medium": 4,
"low": 1,
"kev": 1,
"top_cves": [
{
"cve_id": "CVE-2026-65637",
"severity": "CRITICAL",
"score": 9.8
},
{
"cve_id": "CVE-2026-65905",
"severity": "CRITICAL",
"score": 9.8
},
{
"cve_id": "CVE-2026-59083",
"severity": "CRITICAL",
"score": 9.1
}
]
}
}
]
}