TomcatとNode.jsの脆弱性18件、修正版と誰が何をすべきか

TomcatとNode.jsの脆弱性、何が発表された？

10月20日、Apache Tomcatの開発チームは公式のセキュリティページで8件の脆弱性を公表しました。翌21日（協定世界時）にはNode.jsの開発チームも、予告していたセキュリティリリースを出し、10件を修正しています。同じ21日には、日本のレンタルサーバー各社が緊急メンテナンスに追われたPHPの修正版も公開されており、Webサイトを支える土台のソフトで更新が重なった1週間になりました。

件数は、報道（窓の杜、GIGAZINEなど）の「Tomcat 8件・Node.js 10件」と、当サイトが公式ページで数え直した結果が一致しました。日本の脆弱性情報サイトJVNも「Apache Tomcatの8件の脆弱性」として10月21日に掲載しています。

Tomcatの脆弱性8件の一覧（CVE・影響する版）

Tomcatの公式セキュリティページ（11系・10系・9系の3ページ）から、「2026年10月20日に公表」と書かれた項目を全部拾い、重複を除いて並べました。11系に影響するのは7件、10系は6件、9系は7件です。説明は公式の英文を当サイトで要約したもので、攻撃の手順にあたる情報は省いています。

修正版は3件とも同じで、11系は11.0.27、10系は10.1.61、9系は9.0.123です。「M」の付く版は開発途中の版です。

「重要」なのに「9.1」とされるのはなぜ？

深刻度の物差しが2つあるためです。Tomcatの開発チームは独自の4段階（Critical／Important／Moderate／Low）で評価していて、今回の最高は「Important（重要）」でした。一方、CVEの登録情報には、米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）が付けた共通の点数（CVSS）が加わっていて、CVE-2026-101296・101356・103119の3件が10点満点中9.1、「Critical（緊急）」とされています。窓の杜の「最大深刻度“CRITICAL”」という見出しは、このCISAの点数を指しています。

なお、Tomcatの開発チーム自身が2026年に付けた評価を数えると、60件のうち「重要」14件、「中」12件、「低」34件で、「Critical」は1件もありません。どちらの物差しを見ているかで印象が変わるので、記事やニュースを読むときは評価の出どころを確かめると安心です。

3件の重いものは、どんな使い方だと当てはまる？

• CVE-2026-101296（認証のすり抜け）：社内のディレクトリサーバー（LDAPなど）でログインを確かめる「JNDIRealm」を、GSSAPI以外のSASLという方式で設定している場合。影響は11系・10系・9系のほぼすべての版に及びます。
• CVE-2026-101356（HTTP/2の応答取り違え）：HTTP/2を有効にし、非同期処理のサーブレットを使っている場合。影響は11.0.22以降・10.1.55以降・9.0.118以降の比較的新しい版だけです。
• CVE-2026-103119（AJPの応答取り違え）：Apache HTTP ServerなどとTomcatをAJPという方式でつないでいる場合。11系だけが対象です。

開発チームへの報告から公表までは、8件で34〜68日（平均47日）でした。修正版を先に出し、利用者が更新する時間をとってから詳細を公表する流れです。

サポートが終わった8.5系・7.0系にも影響

CVEの登録情報を見ると、認証すり抜けのCVE-2026-101296と、JSPのリダイレクトのCVE-2026-74049の2件は、サポートが終わった8.5系（8.5.0〜8.5.100）と7.0系（7.0.0〜7.0.109）も影響範囲に入っています。8.5系は2024年3月31日、7.0系は2021年3月31日でサポートが終わっており、修正版は出ません。Tomcatの8.5系終了の告知には「8.5系に対する脆弱性報告の確認もしない」と書かれています。

Node.jsの脆弱性10件の一覧と修正版

Node.jsの公式ブログ「Wednesday, October 21, 2026 Security Releases」に載った10件を、深刻度の高い順に並べました。深刻度はNode.jsの開発チームの評価です（10月22日時点で、CVE.orgには今回の10件の登録内容がまだ公開されていませんでした）。

系列ごとに数えると、26系は10件すべて、24系は8件、22系は7件が当てはまります。この数え方は窓の杜の報道とも一致しました。

いちばん重いのは「圧縮データの展開」

GIGAZINEなどが大きく取り上げたのは、Brotli（ブロットリ）という圧縮形式の展開処理で範囲外にデータを書き込んでしまうCVE-2026-111497です。公式ブログの見出しには「リモートでのコード実行を許す」とあり、外から受け取った圧縮データを展開するアプリでは影響が大きくなりえます。残り3件の「高」は、DNSの名前解決と、TLS証明書でのホスト名の確認にかかわるものでした。

同時に直った部品と「eMudhra」の件

今回のリリースには、Node.jsが中に含む部品の更新も入っています。公式ブログによると、名前解決のc-ares、通信ライブラリUndici（26・24・22系）、OpenSSL（24・22系）、SQLite（22系）のほか、認証局eMudhraの中間証明書が侵害された問題への対応として、組み込みの証明書リスト（ca-cert）も3系列とも更新されました。

独自集計：2026年の公表件数はどれくらい？

今回の件数が多いのか少ないのかを確かめるため、両方の公式ページから2026年の公表分を数えました。

Tomcatは2026年だけで60件

Tomcatの11系・10系・9系のセキュリティページに載っている項目のうち、公表日が2026年のものを重複なしで数えると60件でした。2025年に公表されたものは15件だったので、今年はすでに4倍です。月別では9月の12件が最多で、8月以降の3か月足らずで30件が出ています。

公表日（made public）で数えたもの。1つの項目に複数のCVE番号が付く場合は別々に数えています。

Node.jsは5回のリリースで50件、「高」は今回が最多

Node.jsは2026年、1月・3月・6月・7月・10月の5回、まとめてセキュリティリリースを出しています。合計50件のうち「高」は14件で、1回で「高」が4件そろったのは、2026年では今回が初めてです。件数そのものは6月の12件のほうが多く、今回が突出して多いわけではありません。

PHP・Tomcat・Node.jsの違いは？

3つとも「Webサイトの裏側でプログラムを動かす土台」ですが、使う言語と使われる場所が違います。今回のPHPの件でレンタルサーバー各社が一斉にメンテナンスをしたのは、PHPをサーバー会社がまとめて管理しているからです。TomcatやNode.jsは、企業や開発者が自分のサーバーに入れて使うことが多く、更新するのは使っている側になります。

なお、TomcatはJavaの上で動きます。IPAは10月21日に「Oracle Java の脆弱性対策について(2026年10月)」も出しているので、Tomcatを使っているならJava本体の更新も同時に確認しておくと手戻りがありません。Tomcat 11系はJava 17以降、10系はJava 11以降、9系はJava 8以降で動きます。

誰が何をすればいい？立場別の対策

Tomcatを動かしている運営者・開発会社

• 今の版を確認する（Tomcatのbinフォルダにある version.sh／version.bat、または管理画面で表示できます）。
• 11系は11.0.27、10系は10.1.61、9系は9.0.123以上へ更新する。
• すぐ更新できない場合は、上の表の「当てはまる使い方」（JNDIRealm＋SASL、HTTP/2、AJP）に自分の設定が入るかを確かめ、優先順位をつける。
• 8.5系以前を使っているなら、修正版は出ないのでサポート中の系列へ移行する。

Node.jsを使っている運営者・開発者

• 「node -v」で版を確認し、26.12.1／24.22.1／22.23.4以上へ更新する。Dockerの公式イメージなど、他の配布物を使っている場合は、その配布元の更新も確認する。
• 20系以前は修正版が出ないため、22系以降へ移行する。
• Permission Model（権限モデル）で権限を絞っている場合や、SEA（単一実行ファイル）で配布している場合は、関係する脆弱性があるので必ず更新する。

ブログやネットショップを運営している人

レンタルサーバーでWordPressを動かしているだけなら、TomcatやNode.jsを自分で入れていないことがほとんどです。そうした場合、今回の2件で自分がすることは基本的にありません。PHPの更新（サーバー会社の案内に沿った対応）を優先してください。外部の制作会社に作ってもらったシステムがある場合は、「TomcatやNode.jsを使っているか、更新済みか」を問い合わせておくと安心です。

一般の利用者

パソコンやスマホのアプリ、使っているWebサービスの更新を止めないことが対策になります。10月22日時点で、TomcatとNode.jsの公式ページに今回の脆弱性が悪用されたという記載はありません。CISAの評価でも、重い3件はいずれも「悪用の確認なし（Exploitation: none）」とされています。

TomcatとNode.jsの脆弱性のよくある質問

あわせて読みたい

出典・参考資料

• Apache Tomcat：Apache Tomcat 11.x vulnerabilities、10.x、9.x、Which Version Do I Want?、End of life for Apache Tomcat 8.5.x
• Node.js：Wednesday, October 21, 2026 Security Releases、Node.js Releases
• CVE.org（CVE-2026-101296ほか、CISA ADPの評価）／JVN：JVNVU#93110597 Apache Tomcatにおける複数の脆弱性
• PHP：php.net（PHP 8.5.12ほか、2026年10月21日）／IPA：PHPの脆弱性対策について（2026年10月22日）、Oracle Java の脆弱性対策について(2026年10月)
• 報道：窓の杜（Tomcat、10月22日）、窓の杜（Node.js、10月22日）、GIGAZINE（10月22日）

件数・影響する版・2026年の公表数は、上記の公式ページをもとに当サイトが集計したものです。内容は2026年10月22日時点の情報です。アイキャッチ写真：BalticServers.com（CC BY-SA 3.0、Wikimedia Commons／明るさ調整・文字入れ加工あり）。