trydabble
セキュリティ更新の一覧

パッチパッド / Java（Tomcat・Spring・JDK）

Tomcat・Spring・Java のバージョンを確認する方法

最終確認 (KST)

Java のサイトはたいてい3つの層でできています。JDK、サーバー（Tomcat。Spring Boot に組み込まれていることが多い）、そしてフレームワークです。層ごとに修正とバージョン番号が別なので、ひとつずつ確認してください。

このページはどのサイトも検査しません。自分のサイトを確認する方法を説明します。

何があったのか

Apache Tomcat: Tomcat 11（11.0.27）は7件を修正し、うち3件が Important です。AJP の応答が入れ替わる問題、HTTP/2 の応答が入れ替わる問題、そして拒否すべきログインを通してしまうことがあったディレクトリ認証（JNDIRealm）です。AJP の問題は Tomcat 11 だけが対象です。10.1（10.1.61）は Important 2件と Low 4件、9.0（9.0.123）は Important 2件と Low 5件で、Important の2件は HTTP/2 と JNDIRealm の問題です。 tomcat.apache.org

Oracle Java SE: Oracle の四半期ごとの Java 更新です。ほかの提供元の OpenJDK はそれぞれのリリースノートに従います。 docs.oracle.com

Spring Framework: 関数型 MVC のサーバー送信イベント（SSE）のストリームが、限られた条件で崩れることがある低評価の問題です。 spring.io

最近のセキュリティ情報

自分のバージョンが左の番号で始まるなら、右のバージョン以降が必要です。

お知らせ評価（提供元）修正版
Apache Tomcat 11.0.27、10.1.61、9.0.123CVE-2026-103119, CVE-2026-101356, CVE-2026-101296提供元のお知らせtomcat.apache.orgあわせて: Apache Tomcat 10 セキュリティ情報, Apache Tomcat 9 セキュリティ情報公開日2026-10-20最終確認2026-10-22 (KST)評価（提供元）

重要 (Important)

11.0：Important 3、Low 4 · 10.1：Important 2、Low 4 · 9.0：Important 2、Low 5

修正版
  • 11.0:11.0.27以降
  • 10.1:10.1.61以降
  • 9.0:9.0.123以降

2026-10-12 リリース、2026-10-20 公開。AJP の問題（CVE-2026-103119）は Tomcat 11 だけが対象です。

Oracle Java SE 2026年10月クリティカルパッチアップデート提供元のお知らせdocs.oracle.comあわせて: Oracle クリティカルパッチアップデート 2026年10月公開日2026-10-20最終確認2026-10-22 (KST)評価（提供元）

提供元のページを参照

Oracle のリスクマトリックスに評価あり

修正版
  • 27:27.0.1以降
  • 25:25.0.5以降
  • 21:21.0.13以降
  • 17:17.0.21以降
  • 11:11.0.33以降
  • 8:8u511以降
Apache Tomcat 11.0.26、10.1.60、9.0.122CVE-2026-76183WebSocket のセキュリティ制約の回避を含む修正です。10月のリリースにも含まれています。提供元のお知らせtomcat.apache.org公開日2026-09-23最終確認2026-10-22 (KST)評価（提供元）

重要 (Important)

修正版
  • 11.0:11.0.26以降
  • 10.1:10.1.60以降
  • 9.0:9.0.122以降

2026-09-15 リリース、2026-09-23 公開。

Spring Framework CVE-2026-59313CVE-2026-59313提供元のお知らせspring.io公開日2026-08-20最終確認2026-10-22 (KST)評価（提供元）

低 (Low)

修正版
  • 7.0:7.0.9以降

7.0.8.1、6.2.20、6.1.29、6.0.31、5.3.50 は Enterprise Support でのみ提供されます。

Apache Tomcat CVE-2025-24813CVE-2025-24813デフォルトサーブレットの書き込みが有効な場合にだけ該当します。この機能は既定で無効です。提供元のお知らせtomcat.apache.org公開日2025-03-10最終確認2026-10-22 (KST)評価（提供元）

重要 (Important)

修正版
  • 11.0:11.0.3以降
  • 10.1:10.1.35以降
  • 9.0:9.0.99以降

バージョンの確認方法

ホスティングの管理画面

  • ホスティングプラットフォーム：Java またはランタイムの設定に JDK のバージョン、ときには Tomcat のバージョンも表示されます。

管理画面またはプロジェクトのファイル

  • Spring Boot のアプリ：pom.xml や build.gradle の spring-boot-starter-parent または BOM のバージョンを見ます。組み込み Tomcat のバージョンは依存関係ツリーに出ます（Gradle は gradle dependencies）。

    mvn dependency:tree

コマンドライン

  • JDK のバージョンは、サーバーで次のコマンドで確認します。

    java -version

  • 単体の Tomcat なら、Tomcat の bin フォルダにあるバージョンスクリプトを実行します（Windows は version.bat）。 github.com

    $CATALINA_HOME/bin/version.sh

更新の手順

ホスティング会社やプラットフォームが管理している場合

  • ホスティングプラットフォームなら、ランタイム設定で修正済みの JDK や Tomcat のバージョンを選び、再デプロイします。

自分でサーバーを運用している場合

  • Tomcat：修正版をダウンロードして入れます。Tomcat はバイナリパッチを出さず、問題が修正されたバージョンへ上げるよう案内しています。 tomcat.apache.org

  • Spring Boot：新しい Spring Boot のバージョンに上げるか、tomcat.version プロパティを修正済みの Tomcat に指定します。

  • JDK：使っている JDK の提供元の更新経路で上げます。ほかの提供元の OpenJDK（Temurin、Corretto など）はそれぞれのリリースノートに従うので、番号を推測せず提供元を確認してください。

  • Tomcat 8.5 と 10.0 はサポートが終わり、修正は出ません。9.0、10.1、11.0 へ移る計画を立ててください。

まだ更新できない場合

Apache Tomcat: Apache Tomcat 11.0.27、10.1.61、9.0.123

Tomcat は項目ごとの条件をセキュリティページに載せています。今回の項目について Tomcat の案内は更新です。 tomcat.apache.org

Spring Framework: Spring Framework CVE-2026-59313

Spring は修正版への更新を案内し、「それ以上の緩和策は必要ない」としています。 spring.io

Apache Tomcat: Apache Tomcat CVE-2025-24813

Tomcat が示す条件：デフォルトサーブレットの書き込みが有効な場合だけ該当します（既定では無効）。誰も有効にしていなければこの項目は該当せず、更新すればいずれにせよ解決します。 tomcat.apache.org

ホスティング会社への聞き方

下の文をコピーし、[ ] の部分を埋めて、ホスティング会社のサポート窓口に送ってください。

お世話になっております。私の Java アプリ [アプリ名] は御社のプラットフォームで動いています。このアプリが使う JDK と Apache Tomcat のバージョンを教えていただけますか。Tomcat は 11.0.27、10.1.61、9.0.123 で問題を修正し（2026年10月20日公開）、Oracle の2026年10月の更新には 21.0.13 や 17.0.21 などが含まれます。私のランタイムが修正版か、どう更新すればよいかを知りたいです。よろしくお願いいたします。

提供元の情報源

最終確認 (KST)