CISA KEV 警告 26/08/04：Apache Tomcat の脆弱性 CVE-2026-34486 を登録

CISA Warns of Apache Tomcat Encryption Vulnerability Actively Exploited in Attacks

2026/08/04 CyberSecurityNews — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、高深刻度の Apache Tomcat の脆弱性 CVE-2026-34486 を Known Exploited Vulnerabilities (KEV) カタログに追加し、この脆弱性がアクティブに悪用されていると述べ、2026年8月7日までにベンダーの緩和策を適用するよう、連邦政府機関に指示した。

脆弱性 CVE-2026-34486 は、Apache Tomcat に存在する機密データの暗号化不備に関する脆弱性であり、機密性の高い情報に対する暗号化の失敗を指す CWE-311 に分類される。この脆弱性を悪用する攻撃者は Tomcat の EncryptInterceptor をバイパスできる。これは、クラスタ化された Tomcat デプロイメントにおける通信を暗号化するセキュリティ・コンポーネントである。

以前に修正された脆弱性 CVE-2026-29146 への対応が不完全だったことで、今回の問題が発生している。Apache Tomcat の EncryptInterceptor は、不適切に暗号化されたクラスタ・メッセージが下流コンポーネントへ到達するのを防止するものである。しかし、欠陥のある実装により、特別に細工されたメッセージが保護をバイパスし、クラスタ通信の機密性制御を弱体化させる可能性がある。

Apache Tomcat の暗号化脆弱性が悪用される

この脆弱性が影響を及ぼす範囲は、Apache Tomcat 11.0.20／10.1.53／9.0.116 であり、Apache Tomcat プロジェクトは、Tomcat 11.0.21／10.1.54／9.0.117 をリリースして、この問題に対処している。

影響を受けるバージョンを実行している組織にとって必要なことは、直ちにアップグレードを実施することであり、特に Tomcat のクラスタリングまたは Apache Tribes による通信が有効化されている場合には、このアップグレードが重要である。セキュリティ研究者も、CVE-2026-34486 の悪用について警告している。

Unit 42 は、中国語話者の脅威アクターが、AI 支援攻撃キャンペーン中に、この脆弱性を悪用したと報告している。同キャンペーンでは、脆弱な Apache Tomcat サーバに対して、Java デシリアライゼーション・ベースのリバースシェルを展開しようとする試みが観測された。

新たに公表されたエンタープライズ・ソフトウェアの欠陥を悪用する攻撃者が、直ちにスキャン／侵入活動を展開している状況が示されている。CISA は、この Tomcat の脆弱性とランサムウェア・キャンペーンとの関連性を確認していないが、インターネットに面したアプリケーション・サーバの悪用により、企業ネットワークへの初期アクセスの足掛かりが生じる可能性がある。

アクセスを得た攻撃者は、認証情報窃取／ラテラル・ムーブメント／データ窃取／マルウェア展開を試みる可能性がある。特にクラスタリング機能を使用し、信頼されていないネットワークからの通信を受け付ける Tomcat サーバではリスクが高まるため、クラウド環境／コンテナ・プラットフォーム／内部アプリケーション・クラスタにデプロイされているすべての Tomcat を特定する必要がある。

セキュリティ・チームに求められるのは、Apache Tribes によるクラスタリングが有効化されているデプロイメントを確認し、脆弱なリリースの使用の有無を判断することである。更新済み Tomcat バージョンを適用することで、根本的な EncryptInterceptor バイパスへの対応が実現される。

迅速に更新できない場合、防御側にとって必要なことは、Tomcat クラスタ通信ポートへのアクセスを制限し、信頼されたクラスタノードだけに接続を制限することである。さらに、ネットワーク・セグメンテーション／厳格なファイアウォール・ルール／プライベート・ネットワーク経路の強制などにより、パッチのテストと展開が完了するまでの間、攻撃対象となるリスクを低減できる。

組織にとって必要なことは、予期しないクラスタ通信／暗号化・復号処理の繰り返される失敗／不審なアウトバウンド接続などについて、Tomcat とネットワークのログを確認することである。

CISA は、米国連邦文民機関に対し、Binding Operational Directive 26-04 に従い、リスクに応じて修復を優先するよう指示した。さらに関係者に対して、各資産のインターネットへの露出を評価し、同機関のフォレンジック・トリアージ要件に従い、有効な緩和策が利用できない場合には製品の使用を中止するよう助言している。この短い修復期限は、公開 Java インフラにおけるパッチ管理の緊急性を浮き彫りにしている。

訳者後書：Apache Tomcat の深刻な脆弱性が、CISA KEV カタログに追加されました。Web アプリケーションの実行環境として広く用いられている Apache Tomcat において、通信の保護を妨害される深刻な不具合が確認されました。過去の修正漏れが原因で EncryptInterceptor が正常に機能せず、クラスタ環境内の暗号化メッセージを巧妙に偽装したデータが通過してしまいます。この問題により機密情報が流出し、第三者によるシステムへの侵入や悪意のあるプログラムの実行につながる危険性があります。脆弱性 CVE-2026-34486 (過去の CVE-2026-29146 に関連) への対応策として、修正プログラムが適用された最新版への速やかな更新が必要です。ご利用のチームは、ご注意ください。よろしければ、CISA KEV ページも、ご参照ください。