WebRelease2 2.80Q の Java 実行環境・Apache Tomcat の脆弱性への影響について
2026年10月27日時点における WebRelease2 2.80Q への影響についてお知らせします。
2.80Q は Java 実行環境の脆弱性の影響を受けます。2.80S へのアップデートをお願いいたします（CVE-2026-114820 は近日リリース予定の 2.80T で対応します）。Apache Tomcat の脆弱性による影響はございません。
Java 実行環境
WebRelease2 2.80Q は、Java 実行環境として Amazon Corretto 17.0.20.8.1（OpenJDK）を同梱しています。
2.80Q の同梱バージョンに修正が含まれていない脆弱性は以下のとおりです。
| 公開日 | 内容 | 判定 | 修正された WebRelease2 |
|---|---|---|---|
| 2026年8月18日 | OpenJDK 脆弱性アドバイザリで修正された脆弱性（CVE-2026-61308 ほか） | 未修正 | 2.80R |
| 2026年10月20日 | Oracle Java SE Critical Patch Update で修正された脆弱性 | 未修正 | 2.80S |
| 2026年10月21日 | CVE-2026-91403（CVSS 9.1） | 影響あり | 2.80S |
| 2026年10月24日 | CVE-2026-114820（CVSS 9.1） | 影響あり | 2.80T（近日リリース予定） |
CVE-2026-91403 と CVE-2026-114820 は、WebRelease2 が外部と HTTPS で通信する機能（外部リンクチェック、フィード取得、Amazon S3・CloudFront への配信など）に関係します。悪意のある接続先や通信経路の改ざんがあった場合に、偽の接続先を正規のものと誤認するおそれがあります。
Apache Tomcat
WebRelease2 2.80Q は Apache Tomcat 10.1.57 を同梱しています。
2.80Q には 2026年10月27日時点で公開されている Apache Tomcat の脆弱性による影響はございません。
Apache Tomcat 10.1.58〜10.1.61 で修正された脆弱性（2026年8月〜10月公開）は、2.80Q の同梱バージョンには修正が含まれていませんが、いずれも WebRelease2 で利用していない機能・設定に関するものです。
| CVE | 重要度 | 判定 | 理由 |
|---|---|---|---|
| CVE-2026-65182 | Important | 影響なし | 特定の順序の security-constraint 定義時のみ影響。security-constraint は未定義 |
| CVE-2026-65927 | Important | 影響なし | RewriteValve 使用時のみ影響。RewriteValve は未構成 |
| CVE-2026-68569 | Important | 影響なし | DataSourceRealm 使用時のみ影響。Realm は未使用 |
| CVE-2026-68763 | Important | 影響なし | HTTP/2 使用時のみ影響。HTTP/2 は未使用 |
| CVE-2026-86350 | Important | 影響なし | HTTP/2 使用時のみ影響。HTTP/2 は未使用 |
| CVE-2026-78383 | Important | 影響なし | AJP 使用時のみ影響。AJP は無効 |
| CVE-2026-77791 | Important | 影響なし | WebSocket 使用時のみ影響。WebSocket は未使用 |
| CVE-2026-76183 | Important | 影響なし | WebSocket 使用時のみ影響。WebSocket は未使用 |
| CVE-2026-101356 | Important | 影響なし | HTTP/2 使用時のみ影響。HTTP/2 は未使用 |
| CVE-2026-101296 | Important | 影響なし | JNDIRealm 使用時のみ影響。Realm は未使用 |
| CVE-2026-65637 | Moderate | 影響なし | HTTP/2 と TLS 使用時のみ影響。いずれも未使用 |
| CVE-2026-86248 | Moderate | 影響なし | TLS のクライアント証明書認証時のみ影響。未使用 |
| CVE-2026-79677 | Moderate | 影響なし | WebSocket 使用時のみ影響。WebSocket は未使用 |
| CVE-2026-73581 | Moderate | 影響なし | OpenSSL 系 TLS 使用時のみ影響。TLS は未使用 |
| CVE-2026-66299 | Low | 影響なし | examples アプリケーション配備時のみ影響。配備していない |
| CVE-2026-73180 | Low | 影響なし | WebSocket 使用時のみ影響。WebSocket は未使用 |
| CVE-2026-68525 | Low | 影響なし | FORM 認証使用時のみ影響。FORM 認証は未使用 |
| CVE-2026-66422 | Low | 影響なし | security-role-ref 定義時のみ影響。未定義 |
| CVE-2026-65905 | Low | 影響なし | DIGEST 認証使用時のみ影響。DIGEST 認証は未使用 |
| CVE-2026-65183 | Low | 影響なし | Unix ドメインソケット使用時のみ影響。未使用 |
| CVE-2026-87022 | Low | 影響なし | WebSocket 使用時のみ影響。WebSocket は未使用 |
| CVE-2026-78437 | Low | 影響なし | HTTP/2 使用時のみ影響。HTTP/2 は未使用 |
| CVE-2026-77762 | Low | 影響なし | HTTP/2 使用時のみ影響。HTTP/2 は未使用 |
| CVE-2026-75973 | Low | 影響なし | Jakarta Authentication 構成時のみ影響。未構成 |
| CVE-2026-77756 | Low | 影響なし | HTTP/1.0 要求が届く場合のみ影響。前段 httpd 経由では発生しない |
| CVE-2026-93446 | Low | 影響なし | TLS 1.3 使用時のみ影響。TLS は未使用 |
| CVE-2026-88041 | Low | 影響なし | HTTP/2 使用時のみ影響。HTTP/2 は未使用 |
| CVE-2026-74049 | Low | 影響なし | JSTL 使用時のみ影響。JSP・JSTL は未使用 |
| CVE-2026-74048 | Low | 影響なし | FIPS モード構成時のみ影響。未構成 |
Apache Tomcat 10.1.57 までに修正された脆弱性（2026年7月公開分まで）は、2.80Q の同梱バージョンで修正済みです。
※ 影響の判定は、WebRelease2 の標準構成（同梱 Apache Tomcat の設定を変更していない状態）を前提としています。