セキュリティ情報 - 2026/10/20に公開のApache Tomcatの脆弱性について – Yellowfin Japan サポートサイト

2026/10/20にApache tomcat に関連して複数の脆弱性が報告されました。

調査の結果、Yellowfinでは該当のTomcatの機能は利用しておりませんので、製品としては脆弱性の影響は受けません。

該当のTomcatの機能はYellowfinのバージョンに関わらずデフォルトでは無効になっております。
しかし、手動で有効化することが可能であるため、その場合には脆弱性の影響を受けます。
下記の表を参考に影響の有無を確認できます。

影響がある場合はの対策は該当の機能を無効にするか、Yellowfin9.18.1以降へアップデートします。
Yellowfin9.18.1ではこれらの脆弱性に対策済みのTomcat9.0.123にアップデートされます。

Yellowfin9.18.1は2026/12月中にリリース予定となっております。

Yellowfinの脆弱性対応に関しても合わせてご一読ください。

CVE	深刻度 (当社判定)	脆弱性の条件	製品での利用	影響
CVE-2026-101356	Critical (Apache: Important)	HTTP/2を使用 appserver/conf/server.xmlに `<UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol"...>`が有効になっている。	未使用	無この機能はデフォルトで無効になっています。ただし、エンドユーザーが有効にしている場合は、影響が生じます。
CVE-2026-101296	Critical (Apache: Important)	`JNDIRealm` を使用 server.xml 内で、GSSAPI 以外の SASL 認証メカニズムでJNDIRealmが設定されている場合 JNDIRealmの設定の詳細はこちら	未使用	無この機能はデフォルトで無効になっています。ただし、エンドユーザーが有効にしている場合は、影響が生じます。
CVE-2026-88041	Low	HTTP/2を使用 appserver/conf/server.xmlに `<UpgradeProtocol className="org.apache.coyote.http2.Http2Protocol"...>`が有効になっている。	未使用	無この機能は、Yellowfinでは使用されていません。ただし、エンドユーザーがこの機能を有効にしている場合は影響が生じます。
CVE-2026-93446	Low	TLSコネクターをTLS1.3と共に使用 appserver/conf/server.xml内の `SSLEnabledProtocols`や`SSLHostConfig`でTLS 1.3 を指定している。	未使用	無この機能は、Yellowfinでは使用されていません。ただし、エンドユーザーがこの機能を有効にしている場合は影響が生じます。
CVE-2026-80353	Low	APRコネクターで`unixDomainSocket` を使用 appserver/conf/server.xmlに `<Connector protocol="org.apache.coyote.http11.Http11AprProtocol"...>`が有効になっている。かつ、 `unixDomainSocketPath=...`が指定されている。	未使用	無この機能は、Yellowfinでは使用されていません。ただし、エンドユーザーがこの機能を有効にしている場合は影響が生じます。
CVE-2026-74048	Low	FIPSモードが有効になっている。 appserver/conf/server.xmlの Connector定義に `<Listener className="org.apache.catalina.core.OpenSSLLifecycleListener"` `FIPSMode="on" .../>`の記載がある	未使用	無この機能は、Yellowfinでは使用されていません。ただし、エンドユーザーがこの機能を有効にしている場合は影響が生じます。
CVE-2026-74049	Low	`tagPlugins.xml`を介して有効化されたJasper JSTLタグプラグインがあり、JSP内で`<c:redirect>`の記載がある。	未使用	無
CVE-2026-103119	-	-	-	無 Tomcat 11に対する脆弱性 YellowfinにはTomcat 9系が同梱されています。

このセクションの記事

関連記事