CVE-2026-55956Patch(apache / tomcat)

Múltiples vulnerabilidades de Apache Tomcat permiten saltar la autenticación La Apache Software Foundation ha revelado dos vulnerabilidades en Apache Tomcat (CVE-2026-55957 y CVE-2026-55956) https://blog.elhacker.net/2026/07/multiples-vulnerabilidades-de-apache.html

Apache Tomcat の脆弱性 CVE-2026-55957／55956 が FIX：認証バイパスの恐れ https://iototsecnews.jp/2026/07/01/multiple-apache-tomcat-vulnerabilities-allow-attackers-to-bypass-authentication/ Webアプリケーションの安全な運用を支える基盤ソフト Apache Tomcat において、本来制限されているはずの領域へ向けた外部からの侵入を許してしまう、2 件の脆弱性CVE-2026-55957／CVE-2026-55956 が公表されました。この問題の背景には、通信の種類ごとにアクセスの可否を細かく判定する内部ロジックの不備により、設定された拒否ルールが一部無視されてしまう仕組み上の不具合があります。この脆弱性を放置すると、認証の回避や重要データの窃取などが生じる恐れがあります。対応策として、開発元が配布している安全な最新バージョンへの更新を速やかに実施してください。その上で、設定ファイルのアクセス制御ルールを改めて見直すことが大切です。 #Apache #CVE202655956 #CVE202655957 #Tomcat #Vulnerability

Tomcat の CVE で一番気になったのは、認証バイパスそのものより「まだそこに Tomcat 8.5 / 7.0 がいる」という現実だった。 CVE-2026-55957 は、JNDIRealm + GSSAPI authenticated bind という条件が必要で、発動条件は狭い。Tomcat を使っているだけで全員が慌てる話ではない。まず見るべきは、該当構成があるかどうか。 ただし、同時公開の CVE-2026-55956 は別。default servlet の制約バイパスで、影響範囲はこちらの方が広い。GSSAPI とは関係ないので、日本の現場で普通に踏む可能性があるのは、むしろこっちかもしれない。 見る順番はこう。 まず、JNDIRealm + GSSAPI の旧構成が残っていないか。単体 Tomcat だけでなく、Spring Boot 組み込みの tomcat-embed-core も見る。 次に、CVE-2026-55956 の影響範囲を確認する。 そしてログを見るなら、単なるログイン成功ではなく、 いつ どこから どの認証方式で どのロールになり その後何をしたか を見る。 いったん認証が通ってしまえば、その後は「正規の管理者操作」に見える。ここが厄介。 で、ここからが本題。 Tomcat 9 / 10 / 11 系なら、基本は修正版へ上げる話になる。でも 8.5 / 7.0 は EOL。該当した場合、「パッチを当てれば済む」ではなく、実質的には移行案件になる。 ここで現場は止まる。 古いから上げろ。 それは正しい。 でも正しいだけでは動かない。 その上に10年前の業務アプリが載っている。担当者はいない。検証環境もない。JDK を上げると別のものが壊れる。認証連携も古い。移行はセキュリティ対応ではなく、小さな再開発案件になる。 だから残る。 そして、残ったものが次の攻撃面になる。 ここで Aikido が買収した Root の意味が出てくる。 Root / Aikido Libraries / Aikido Images が狙っているのは、「見つける」と「直す」の間に空いた溝だ。 脆弱性を見つける側は、SCA、SAST、SBOM、AIでどんどん速くなった。でも直す側は、まだ人間の手作業に残っている。 影響を調べる。 上げられるバージョンを探す。 互換性を見る。 壊れないか試す。 本番反映を調整する。 攻撃者は、この「見つかったが、まだ直っていない」時間に住んでいる。 Root の発想は、いま動いているまさにそのバージョンに、破壊的変更を避けた修正を差し込むこと。アップグレードでも移行でもなく、壊れにくい差し替えに近い。 もちろん、これは EOL を放置していいという話ではない。古いものは、上げられるなら上げるべき。 ただ、日本企業の基幹周辺には「古いが止められない」「上げたいが検証環境がない」「担当者がもういない」システムが普通にある。 EOL の本当の怖さは、脆弱性そのものより、修正判断が毎回プロジェクト化して止まることにある。 今回の Tomcat CVE は、現時点で悪用が広がっている話ではない。CVE-2026-55957 の条件も狭い。過度に煽る必要はない。 でも、放置してよい話でもない。 該当構成を切り分ける。 CVE-2026-55956 も見る。 ブラウザ経路や管理画面との複合技を考える。 ログで認証方式・権限・操作を見る。 そして EOL が残っているなら、移行だけでなく、壊さず塞ぐ現実解も考える。 古い Tomcat が動いていた。 それは一台の古いサーバの話ではない。 「見つける」ことは速くなったのに、「直す」ことだけが遅いまま残っている。 今回の CVE は、その溝をもう一度見せている。 #Aikido #Tomcat #脆弱性管理 #サプライチェーンセキュリティ #DevSecOps #OSS

Warning: Authorization and Authentication Vulnerability in #Apache Tomcat. CVE-2026-55956 CVSS: 6.5 and CVE-2026-55957 CVSS: 7.3 This can lead to unauthorized access. Read our advisory https://ccb.belgium.be/advisories/warning-authorization-and-authentication-vulnerabilities-apache-tomcat-patch-immediately and #Patch #Patch #Patch

Apache Tomcatの脆弱性(Important: CVE-2026-55957, Moderate: CVE-2026-55956, Low: CVE-2026-55955, CVE-2026-55276, CVE-2026-53434, CVE-2026-53404, CVE-2026-50229) #sios_tech #security #vulnerability #セキュリティ #脆弱性 #linux #tomcat #mod_jk #apache https://security.sios.jp/vulnerability/tomcat-security-vulnerability-20260630/

🚨 Two Apache Tomcat flaws (CVE-2026-55957 & CVE-2026-55956) let attackers bypass authentication by exploiting broken HTTP method-level security constraints on the default servlet-access assumed "protected" wasn't. 🔧 No workarounds exist, patch now. Upgrade to Tomcat 11.0.5/10.1.37/9.0.101+ (or 11.0.23/10.1.56/9.0.119+ for the second flaw) and audit web.xml constraints afterwards.

🚨 Apache Tomcat güvenlik açığı Apache Tomcat için açıklanan CVE-2026-55957 ve CVE-2026-55956 açıkları, bazı yapılandırmalarda güvenlik kontrollerinin aşılmasına neden olabiliyor. Tomcat sürümünüzü güncelleyin ve erişim kurallarınızı kontrol edin.