2026 年は 1 月から 10 月までに 9 回のリリースがあり、修正された CVE は 50 件を超える。調査時点（2026-10-22）の最新版は 11.0.27（2026-10-12）。対象は Tomcat 11.x のページで、10.1.x・9.0.x は確かめていない。
2026-10-12 の 11.0.27 で修正された Important の 3 件。直すには 11.0.27 が要る。
| CVE | 内容 | 影響しやすい構成 | 影響版 |
|---|---|---|---|
| CVE-2026-101296 | JNDIRealm（GSSAPI 以外の SASL）で、バインド資格情報の検証に失敗しても通り、パスワードなしで認証される | LDAP 認証 | 11.0.0-M1〜11.0.26 |
| CVE-2026-103119 | AJP でバッファの読み取りが足りず、応答ボディが次のリクエストに漏れる | Apache / IIS と AJP で連携 | 11.0.0-M25〜11.0.26 |
| CVE-2026-101356 | HTTP/2 の非同期処理で、エラーのあとにオブジェクトを再利用し、リクエストとレスポンスが取り違わる | HTTP/2 ＋ 非同期サーブレット | 11.0.22〜11.0.26 |
パスワードなしやユーザー不在でも認証が通るものが、JNDIRealm（CVE-2026-101296・CVE-2026-55957）、DataSourceRealm（CVE-2026-68569）、DIGEST 認証（CVE-2026-43512）で見つかった。Realm を使っているなら最優先。
パスの長短による制約の順序（CVE-2026-65182）、RewriteValve（CVE-2026-65927・CVE-2026-59083・CVE-2026-53404）、WebSocket のエンドポイント（CVE-2026-76183）、拡張子パターン（CVE-2026-43515）、default servlet（CVE-2026-55956）。
使っていなければ、コネクタを無効にするのが根本的な対策になる。AJP は外部に公開しない。
CVE-2026-34486（11.0.20 だけが影響）、CVE-2026-86350、CVE-2026-86248、CVE-2026-65637、CVE-2026-32990。途中の版で止めず、最新版まで上げる。
既定が CBC で、padding oracle 攻撃を受ける（CVE-2026-29146）。リプレイ攻撃も防げない（CVE-2026-55955）。クラスタ通信を使うなら設定を見直す。
FFM・OpenSSL を使った TLS で、OCSP・CRL の検証漏れが繰り返し出ている（CVE-2026-24734・CVE-2026-29145・CVE-2026-34500・CVE-2026-86248・CVE-2026-53434・CVE-2026-73581）。CLIENT_CERT 認証を使う構成が該当する。
examples に XSS（CVE-2026-50229）とメモリ枯渇（CVE-2026-66299）がある。本番からは消す。
Tomcat 11.x の修正版ごとに、新しい順に並べた。深刻度は公式の表記。
| 修正版 | CVE | 深刻度 | 概要 |
|---|---|---|---|
| 11.0.27（10-12） | CVE-2026-103119 | Important | AJP で応答ボディが次のリクエストに漏れる |
| 11.0.27（10-12） | CVE-2026-101356 | Important | HTTP/2 の非同期処理でリクエストとレスポンスが取り違わる |
| 11.0.27（10-12） | CVE-2026-101296 | Important | JNDIRealm（GSSAPI 以外の SASL）でパスワードなしの認証 |
| 11.0.27（10-12） | CVE-2026-93446 | Low | TLS 1.3 接続がときどき失敗する |
| 11.0.27（10-12） | CVE-2026-88041 | Low | HTTP/2 で前のリクエストのトレーラーが後続に漏れる |
| 11.0.27（10-12） | CVE-2026-74049 | Low | JSTL の <c:redirect> のあともページが処理される |
| 11.0.27（10-12） | CVE-2026-74048 | Low | FIPS を有効にできなくても起動が止まらない |
| 11.0.26（09-15） | CVE-2026-86350 | Important | CVE-2026-41293 の修正の回帰で、HTTP/2 のヘッダが取り違わる |
| 11.0.26（09-15） | CVE-2026-78383 | Important | ボディのない AJP リクエストでスレッドが占有される（DoS） |
| 11.0.26（09-15） | CVE-2026-77791 | Important | WebSocket の close 送信時のビジーウェイト（DoS） |
| 11.0.26（09-15） | CVE-2026-76183 | Important | WebSocket エンドポイントのセキュリティ制約のバイパス |
| 11.0.26（09-15） | CVE-2026-86248 | Moderate | CLIENT_CERT の OCSP 確認が失敗しない（CVE-2026-34500 の修正が不完全） |
| 11.0.26（09-15） | CVE-2026-79677 | Moderate | 非同期 WebSocket 書き込みのタイムアウトが失われる（DoS） |
| 11.0.26（09-15） | CVE-2026-73581 | Moderate | OpenSSL 実装がキーストア利用時に CRL を無視する |
| 11.0.26（09-15） | CVE-2026-87022 ほか 5 件 | Low | WebSocket のスマグリング、HTTP/2・HTTP/1.0 の他ユーザーへの影響、Jakarta Authentication の Realm 共有 など |
| 11.0.25（08-18） | CVE-2026-68763 | Important | HTTP/2 のストリームリセットでメモリリーク（DoS） |
| 11.0.25（08-18） | CVE-2026-68569 | Important | DataSourceRealm にユーザーがいなくても認証される |
| 11.0.25（08-18） | CVE-2026-65927 | Important | RewriteValve の [N] フラグの off-by-one でアクセス制御のバイパス |
| 11.0.25（08-18） | CVE-2026-65182 | Important | パスの長短による制約の順序でセキュリティ制約のバイパス |
| 11.0.25（08-18） | CVE-2026-65637 | Moderate | HTTP/2 で :authority が無いと厳格な SNI 確認を回避できる |
| 11.0.25（08-18） | CVE-2026-73180 ほか 5 件 | Low | WebSocket セッションが閉じない、FORM 認証後の GET、ロール別名、DIGEST の再生、UDS の TOCTOU、サンプルのメモリ枯渇 |
| 11.0.24（07-08） | CVE-2026-59084・CVE-2026-59083 | Low | EncryptInterceptor の資料不足、RewriteValve の + の誤デコード |
| 11.0.23（06-22） | CVE-2026-55956 | Moderate | default servlet の制約でメソッド指定が無視される |
| 11.0.23（06-22） | CVE-2026-55955 ほか 4 件 | Low | EncryptInterceptor のリプレイ、FFM の無効な CRL、RewriteValve の OR 条件、サンプルの XSS など |
| 11.0.22（05-05） | CVE-2026-43515 | Moderate | 同じ拡張子パターンの複数の制約で、最初のメソッド制約しか効かない |
| 11.0.22（05-05） | CVE-2026-43512 | Moderate | DIGEST 認証で、存在しないユーザーがパスワード "null" で認証される |
| 11.0.22（05-05） | CVE-2026-43514 ほか 4 件 | Low | AJP シークレットのタイミング攻撃、LockOutRealm の大小文字、WebDAV のボディ上限 など |
| 11.0.21（04-04） | CVE-2026-34486 | Important | CVE-2026-29146 の修正の誤りで EncryptInterceptor がバイパスされる（11.0.20 のみ） |
| 11.0.21（04-04） | CVE-2026-34500 | Moderate | FFM 利用時に CLIENT_CERT の OCSP 確認が失敗しない |
| 11.0.21（04-04） | CVE-2026-34487・CVE-2026-34483 | Low | Kubernetes の bearer token をログに出す、JSON アクセスログへの注入 |
| 11.0.20（03-20） | CVE-2026-29146 | Important | EncryptInterceptor が既定で CBC を使い padding oracle 攻撃を受ける |
| 11.0.20（03-20） | CVE-2026-32990・CVE-2026-29145 | Moderate | SNI 確認の大小文字、CLIENT_CERT の OCSP 確認 |
| 11.0.20（03-20） | CVE-2026-24880 ほか 2 件 | Low | チャンク拡張によるスマグリング、TLS 1.3 の暗号順、Draining Valve のリダイレクト |
| 11.0.18（01-26） | CVE-2026-24734 | Moderate | FFM の OCSP 応答の検証が不完全 |