WebRelease2 Java 実行環境・Apache Tomcat の脆弱性への影響について

2026年10月までに公開された Java 実行環境および Apache Tomcat の脆弱性について、
最新版 WebRelease2 2.80R での状況をお知らせします。

■ Java 実行環境

WebRelease2 2.80R は、Java 実行環境として Amazon Corretto 17.0.20.10.1（OpenJDK）を同梱しています。
2026年10月20日公開の Oracle Java SE Critical Patch Update で修正された脆弱性は
2.80R の同梱バージョンに修正が含まれていませんが、Critical（CVSS 9.0 以上）のものはございません。

これらは Amazon Corretto の更新版で修正され次第、同梱 JDK を更新した次のバージョン(2.80S予定)で対応します。

■ Apache Tomcat

WebRelease2 2.80R（Apache Tomcat 10.1.59 同梱）は、
2026年10月までに公開された Apache Tomcat の脆弱性による影響はございません。

【2.80R で修正済みの脆弱性】
Apache Tomcat 10.1.59 までに修正された脆弱性（2026年8月公開分まで）は、
2.80R の同梱バージョンで修正済みです。
CVE-2026-65182（Important）
CVE-2026-65927（Important）
CVE-2026-68569（Important）
CVE-2026-68763（Important）
CVE-2026-65637（Moderate）
CVE-2026-73180（Low）
CVE-2026-68525（Low）
CVE-2026-66422（Low）
CVE-2026-65905（Low）
CVE-2026-65183（Low）

【2.80R に修正は含まれていないが、影響のない脆弱性】
Apache Tomcat 10.1.60 / 10.1.61 で修正された脆弱性（2026年9月・10月公開）になります。
いずれも WebRelease2 では利用していない機能に関するものであるため、影響はないと判断しております。
CVE-2026-86350（Important） HTTP/2 使用時のみ。HTTP/2 は未使用
CVE-2026-78383（Important） AJP 使用時のみ。AJP は無効
CVE-2026-77791（Important） WebSocket 使用時のみ。WebSocket は未使用
CVE-2026-76183（Important） WebSocket 使用時のみ。WebSocket は未使用
CVE-2026-101356（Important）HTTP/2 使用時のみ。HTTP/2 は未使用
CVE-2026-101296（Important）JNDIRealm 使用時のみ。Realm は未使用
CVE-2026-86248（Moderate） TLS のクライアント証明書認証時のみ。未使用
CVE-2026-79677（Moderate） WebSocket 使用時のみ。WebSocket は未使用
CVE-2026-73581（Moderate） OpenSSL 系 TLS 使用時のみ。TLS は未使用
CVE-2026-87022（Low） WebSocket 使用時のみ。WebSocket は未使用
CVE-2026-78437（Low） HTTP/2 使用時のみ。HTTP/2 は未使用
CVE-2026-77762（Low） HTTP/2 使用時のみ。HTTP/2 は未使用
CVE-2026-75973（Low） Jakarta Authentication 構成時のみ。未構成
CVE-2026-77756（Low） HTTP/1.0 要求が届く場合のみ。前段 httpd 経由では発生しない
CVE-2026-93446（Low） TLS 1.3 使用時のみ。TLS は未使用
CVE-2026-88041（Low） HTTP/2 使用時のみ。HTTP/2 は未使用
CVE-2026-74049（Low） JSTL 使用時のみ。JSP・JSTL は未使用
CVE-2026-74048（Low） FIPS モード構成時のみ。未構成