CVE-2026-34486

概要

Apache Tomcat に EncryptInterceptor の バイパス 脆弱性 が 存在 します。これ は CVE-2026-29146 の 修正 が 不完全 だった こと に 起因 し、機密 データ の 暗号化 が 回避 される 可能性 が あります。Tomcat の クラスタリング 機能 で EncryptInterceptor を 使用 して ノード 間 通信 を 暗号化 して いる 環境 に 影響 します。

EncryptInterceptor は Tomcat の クラスタ 構成 に おいて、ノード 間 の セッション レプリケーション や メッセージ 通信 を 暗号化 する ため の インターセプター です。この バイパス に より、クラスタ 内部 の 通信 が 平文 で 送信 される 可能性 があり、セッション データ や 認証 情報 が ネットワーク 上 で 盗聴 される リスク が あります。

この 脆弱性 は 特定 の バージョン（11.0.20 / 10.1.53 / 9.0.116）の みに 影響 する ピンポイント な 問題 です。これら の バージョン は CVE-2026-29146 の 修正 を 含む もの ですが、その 修正 に 新た な 問題 が 含まれ て いた こと が 原因 です。

CVSS ベクトル

影響 を 受ける ソフトウェア

影響 の 範囲

この 脆弱性 は Tomcat の クラスタリング 機能 で EncryptInterceptor を 使用 して いる 環境 の みに 影響 します。単体 構成 で 運用 して いる Tomcat インスタンス や、クラスタ 構成 でも EncryptInterceptor を 使用 して いない 場合 は 影響 を 受け ません。影響 を 受ける バージョン が 限定的 な ため、該当 バージョン を 使用 して いる か 確認 する こと が 重要 です。

修正 バージョン と 回避策

• 修正: Tomcat 11.0.21 / 10.1.54 / 9.0.117
• 回避策: EncryptInterceptor を 使用 した クラスタリング 構成 の 場合 は 速やか に アップデート。単体 構成 の 場合 は 影響 なし

関連 リンク

• NVD — CVE-2026-34486
• Apache 公式 アナウンス

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。