WebRelease2 2.80S の Java 実行環境・Apache Tomcat の脆弱性への影響について

2026年10月27日時点における WebRelease2 2.80S への影響についてお知らせします。

2.80S は Java 実行環境の脆弱性 1 件（CVE-2026-114820）の影響を受けます。近日リリース予定の 2.80T へのアップデートをお願いいたします。Apache Tomcat の脆弱性による影響はございません。

Java 実行環境

WebRelease2 2.80S は、Java 実行環境として Amazon Corretto 17.0.21.0.10（OpenJDK）を同梱しています。

2.80S の同梱バージョンに修正が含まれていない脆弱性は以下のとおりです。

問題となった中間認証局の証明書は 2.80S で無効化済みで、CVE-2026-114820 はその上位のルート証明書を取り除く追加の対応です。この CVE-2026-114820 に対応するためには Amazon から 10月27日（日本時間）にリリースされた Amazon Corretto 17.0.21.0.11 が必要です。この 17.0.21.0.11 を同梱した 2.80T を近日中にリリースして対応します。しばらくお待ちください。

2026年10月20日公開の Oracle Java SE Critical Patch Update で修正された脆弱性、および 2026年10月21日公開の CVE-2026-91403 は、2.80S の同梱バージョンで修正済みです。

CVE-2026-91403 と CVE-2026-114820 は、WebRelease2 が外部と HTTPS で通信する機能（外部リンクチェック、フィード取得、Amazon S3・CloudFront への配信など）に関係します。悪意のある接続先や通信経路の改ざんがあった場合に、偽の接続先を正規のものと誤認するおそれがあります。

Apache Tomcat

WebRelease2 2.80S は、Apache Tomcat 10.1.61 を同梱しています。

2.80R からの更新で新たに修正されたものは以下のとおりです。

※ 影響の判定は、WebRelease2 の標準構成（同梱 Apache Tomcat の設定を変更していない状態）を前提としています。