脆弱性修正

* デフォルトサーブレットに設定されたセキュリティ制約で、HTTP メソッドおよびメソッド除外設定が無視される脆弱性が修正されました。(CVE-2026-55956)

* EncryptInterceptor がリプレイ攻撃から保護されていない脆弱性が修正されました。(CVE-2026-55955)

* ログに出力される有効な web.xml に、特殊ロールおよび空の認可制約が含まれない問題が修正されました。(CVE-2026-55276)

* FFM Connector で無効な CRL が設定された場合に、設定エラーとならず無効な証明書が受け入れられる可能性がある脆弱性が修正されました。(CVE-2026-53434)

* Apache Tomcat の RewriteValve において、OR 条件の連鎖で最初の条件に一致した場合に、それ以降の OR 以外の条件が評価されず、リライト処理が成功してしまう脆弱性がありました。(CVE-2026-53404)

* ワイルドカードを使用したプロパティマッピングにより、本来は内部でのみ使用されるプロパティがクライアントに公開され、XSS 攻撃が可能となる脆弱性が修正されました。(CVE-2026-50229)

不具合修正 (Catalina)

* クラスタリング用 JAR が起動時に存在しない場合に、ログメッセージが重複して出力される問題が修正されました。

* 無効な SPNEGO トークンの処理が改善されました。

* 初期化されていないプロトコル使用時に、Connector クラスで NullPointerException が発生することがある問題が修正されました。

* セッションの平均有効期間の計算が正しくない問題が修正されました。

* 実行中の Pipeline に対して Pipeline.setBasic を使用する際の安定性が向上しました。

* フィルター定義で競合が検出された場合に、サーブレット仕様に従い、サーブレットと同様に初期化パラメーターが更新される問題が修正されました。

* 一部のケースで、コンテナーイベントのクリーンアップが正しく行われない問題が修正されました。

* ExpiresFilter で、サーブレットが addDateHeader を使用している場合に Last-Modified ヘッダーを確認し、誤って設定済みと判定される問題が修正されました。

* ExpiresFilter で使用される時間単位が誤っていた問題が修正されました。

* DataSourceStore で例外が握りつぶされる問題が修正されました。これにより FileStore と動作が統一され、エラー発生時のセッション消失が防止されます。

* DateFormatCache で、一重引用符によるエスケープリテラルおよび引用符付きリテラルを処理できるようになりました。

* JAAS のログアウト時に、JAAS の仕様に従い、コミット時に追加されたロールプリンシパルが Subject から削除されるようになりました。

* MemoryRealm で、設定にロールが指定されていない場合にダミーロールが追加される問題が修正されました。

* DataSourceUserDatabase で、存在しないユーザーに対して null の Principal が返されるようになりました。

* WebDAV の共有ロックの有効期限処理が修正されました。

* Persistent Manager 使用時に、セッション有効期限の統計情報が不正確になる問題が修正されました。

* UTF-32 でエンコードされたファイルを配信する際に、BOM がスキップされるようになりました。

* storeconfig で、WrapperListener 要素と WrapperLifecycle 要素が入れ替わる問題が修正されました。

* DataSourceUserDatabase で、変更されたユーザー情報が正しく処理されない問題が修正されました。

* Web アプリケーションクラスローダーが親クラスローダーと同様の動作となり、リソース検索時に無効なパスによるエラーが発生した場合でも、リソースが存在しないものとして適切に処理されるようになりました。(70049)

* Range および Content-Range パーサーの検証が改善され、不正な Range 指定では 500 エラーではなく 4xx エラーが返されるようになりました。

* ProxyErrorReportValve で接続リークが発生する問題が修正されました。

* RewriteValve 使用時に、%{SSL:HTTPS} が httpd と同様に true / false ではなく on / off を返すようになりました。

* アプリケーションが前回のリクエストで変更したクエリ文字列パラメーターの文字エンコーディングが、次のリクエストへ引き継がれる問題が修正されました。

* CsrfPreventionFilter で URL をエンコードする際に、nonce が不要な URL へ nonce が付与される問題が修正されました。

* CombinedRealm の isAvailable 判定が修正され、少なくとも 1 つのサブ Realm が利用可能であれば認証できるようになりました。

* PersistentValve で、非同期リクエストが正しく処理されるようになりました。(70048)

* RequestDispatcher 使用時のクロスコンテキストディスパッチの検出が改善されました。

* プログラムまたは web.xml で設定した URL パターンが二重にデコードされる問題が修正されました。

* Rewrite 条件の ornext フラグ処理が、mod_rewrite の逐次評価方式に合わせて改善されました。

* ProxyErrorReportValve の useRedirect 属性のデフォルト値が `true` から `false` に変更されました。

* catalina-tribes.jar が存在せず、catalina-ha.jar のみ存在する状態で server.xml の Cluster 要素を有効にした場合に、起動時に NoClassDefFoundError が発生する問題が修正されました。

* WebDAV でリソースをコピーする際に発生する可能性があるデッドロックが修正されました。

* SSI 変数およびリクエスト属性の予約済みプレフィックスに、jakarta.、org.apache.catalina.、org.apache.tomcat. が追加されました。

* Servlet 登録時の addMapping 処理で URL デコードが行われない問題が修正されました。

* WebDAV の Timeout ヘッダーで、RFC に従ってカンマ区切りの値が指定できるようになりました。複数の値が指定された場合は、最初に利用可能な値が使用されます。

* Web アプリケーションの有効な web.xml をログ出力する際の複数の問題が修正されました。空のセクションは出力されなくなり、特殊ロールおよび空の認可制約が出力されるようになりました。

* MemoryUserDatabase の保存処理で書き込みロックの範囲が拡張され、ファイル保存時の並行処理問題が防止されました。

* FileStore でセッション情報がアトミックに保存されるようになりました。

* デフォルトサーブレットにマッピングされたセキュリティ制約で設定された HTTP メソッドが無視される問題が修正されました。

不具合修正 (Coyote)

* OpenSSL ベースのコネクターで Tomcat Native を使用する際、TLS グループが設定されている場合は、OpenSSL のデフォルトではなく設定済みの TLS グループが使用されるようになりました。

* HTTP/2 で、コンテナーが関連するストリームをリセットした場合に、処理中のリクエストボディの読み取りがキャンセルされるようになりました。これにより、受信データがないことが判明している場合に、読み取りタイムアウトを待機する遅延が発生しなくなりました。

* HTTP/2 の不正なメッセージについて、ストリームリセットを行うべき場合に接続全体を切断するのではなく、ストリームリセットが実行されるようになりました。

* HTTP/2 のヘッダートレーラー許可リストの適用が改善されました。

* HTTP/2 でヘッダーフレームが処理されない場合に NullPointerException が発生する問題が修正されました。(70050)

* NIO ポーラースレッドで pollerThreadPriority が正しく使用されるようになりました。

* MessageByte.equals が null の MessageByte に対して呼び出された場合の問題が修正されました。

* JSSE でサーバーキーを取得する際に、委譲先の Key Manager が正しく呼び出されるようになりました。

* Asn1Parser でオーバーフローが発生する可能性がある問題が修正されました。

* Http2Protocol に allowSchemeMismatch 属性が追加されました。この属性を使用すると、ユーザーエージェントから提供されるスキームの整合性チェックをスキップできるようになります。(70091)

* isTrailerFieldsReady が常に true を返していた問題が修正されました。

* OpenSSL/Panama TLS 実装が他の TLS 実装と同等の動作となり、指定された CRL の読み込み時にエラーが発生した場合は例外がスローされるようになりました。

* OpenSSL 形式の暗号スイート指定で @STRENGTH が含まれている場合に、その後の指定が無視される問題が修正されました。

* HTTP/2 のペイロード長が、ヘッダーで指定されたフラグに必要なデータ長より不足している場合を正しく処理するようになりました。

* FFM コネクターで setSessionTicketKeys を呼び出す際に、セッションチケットキーのサイズが正しく判定されるようになりました。(70102)

* TLS 1.3 の Post-Handshake Authentication が修正されました。OpenSSL 1.1.1 から 3.0.0 への仕様変更により動作しなくなっていた問題が解消されました。(69988)

* OpenSSL の暗号スイート指定を処理する際に、生成される暗号スイートの順序が OpenSSL と完全に一致するようになりました。

不具合修正 (Jasper)

* EL の引数に null が設定された場合に、不一致が発生することがある問題が修正されました。

* TagPluginManager のスレッドセーフ性が改善されました。

* JSP の include 処理で flush が正しく実行されるようになりました。

不具合修正 (Cluster)

* トラストストアを設定せずにクラウドメンバーシップを構成した場合のログメッセージが改善されました。この構成ではすべての証明書が信頼されることが、より分かりやすく表示されるようになりました。

* Channel Coordinator の設定時に、リスナーが正しく追加および削除されるようになりました。

* FragmentationInterceptor の並行処理に関する問題が修正されました。

* OrderInterceptor の並行処理に関する問題が修正されました。

* TwoPhaseCommitInterceptor の並行処理に関する問題が修正されました。

* CloudMembershipProvider 実装で MD5 ダイジェストを生成する際の並行処理に関する問題が修正されました。

不具合修正 (WebSocket)

* AsyncChannelWrapperSecure の Future.isDone() が正しくない値を返す問題が修正されました。

* プログラムによるエンドポイントで Endpoint.onOpen() の呼び出しに失敗した場合に、標準の WebSocket エラー処理が実行されるようになりました。

* プログラムによるエンドポイントで Endpoint.onOpen() の呼び出しに失敗した場合に、メモリリークが発生する問題が修正されました。(70110)

* WebSocket 拡張機能のネゴシエーション時に、クライアントから無効なパラメーターが指定された場合は、接続を切断するのではなく、そのネゴシエーション要求のみが拒否されるようになりました。

不具合修正 (Web applications)

* Documentation: ocspSoftFail に関するドキュメントの説明およびデフォルト値の記載が修正されました。

* Manager サーブレットの JSON モードで、コンテキスト名が二重にエスケープされる問題が修正されました。

* Manager: Manager アプリケーションによる Web アプリケーションのリロード時に、自動デプロイによってアンデプロイが実行される問題が修正されました。

* Documentation: Connector の scheme 属性および secure 属性に関するドキュメントが改善されました。

不具合修正 (Other)

* javax とすべき箇所で jakarta が参照されていた問題が修正されました。

* Ant タスク実行後にデフォルトの Authenticator が null に戻らない問題が修正されました。

機能追加・改良 (Catalina)

* アクセスログ出力で、リテラルの「%」文字を使用できるようになりました。

* SSI 処理エンジンから、通常の正規化チェックと重複していた不要なコードが削除されました。

* UserDatabase におけるユーザー、ロール、およびグループの作成動作が明確化されました。既存の要素は作成時に上書きされず、変更する場合は削除または更新を行う必要があります。

* JsonErrorReportValve および ProxyErrorReportValve で、showReport 属性に対応しました。false に設定すると、エラーレスポンスにメッセージ、説明、スタックトレースなどの詳細情報が表示されなくなります。

機能追加・改良 (Coyote)

* 暗号化された PEM ファイルで安全でない暗号化方式が使用されていることを検出した場合に、適切な警告が出力されるようになりました。

* Brainpool TLS グループに対応しました。

* Tomcat Native 1.x の最小バージョンおよび推奨バージョンが 1.3.8 に更新されました。

機能追加・改良 (Cluster)

* EncryptInterceptor にリプレイ攻撃対策が追加されました。この変更は EncryptInterceptor に対する互換性のない変更です。

機能追加・改良 (Web applications)

* Manager: Manager アプリケーションで、アップロードされたファイルが想定された保存先に配置されていることを確認するチェックが追加されました。

* Manager: Manager アプリケーションで、デプロイする WAR、ディレクトリ、またはディスクリプタファイルに指定されたコンテキストパスの妥当性を確認するチェックが追加されました。

* Documentation: CrawlerSessionManagerValve の一部属性に関するドキュメントが拡充されました。

機能追加・改良 (Other)

* Commons Daemon が 1.6.1 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* Tomcat Native が 1.3.8 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.119_(remm)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.119

脆弱性修正

* セキュリティ制限が正しく適用されない問題が修正されました。複数のセキュリティ制約で同一の拡張子パターンに対する HTTP メソッド制約が定義されている場合、最初のメソッド制約のみが適用され、他の制約は適用されませんでした。(CVE-2026-43515)
* AJP シークレットの比較処理が非定数時間で実行されることにより、ローカルネットワーク上の攻撃者によるタイミング攻撃によって、AJP シークレットが推測される可能性がある問題が修正されました。(CVE-2026-43514)

* LockOutRealm がユーザー名を大文字・小文字を区別して処理していたため、ユーザー名を大文字・小文字を区別せず扱う Realm 環境において、ユーザーパスワードに対するブルートフォース攻撃の防止機能が十分に機能しない問題が修正されました。(CVE-2026-43513)

* DIGEST 認証が設定されている環境において、設定された Realm に存在しないユーザーであっても、パスワードとして “null” を指定することで認証されてしまう問題が修正されました。(CVE-2026-43512)

* 認証後に WebSocket リクエストがリダイレクトされた場合、Tomcat の WebSocket クライアントが最新の認証ヘッダーをリダイレクト先ホストへ送信してしまう問題が修正されました。(CVE-2026-42498)

* HTTP/2 リクエストヘッダーの検証が行われていなかったため、Servlet API 経由で取得されるヘッダー値が仕様に準拠していることを前提としたアプリケーションにおいて、予期しない動作が発生する可能性がある問題が修正されました。(CVE-2026-41293)

* 認証されていないユーザーが利用可能な WebDAV の LOCK および PROPFIND リクエストにおいて、リクエストボディサイズに制限が設定されていなかった問題が修正されました。(CVE-2026-41284)

不具合修正(Catalina)

* 前回リリースで発生していたリグレッションにより、クエリ文字列が空の場合にアクセスログへ「?」ではなく「?-」が出力される問題が修正されました。

* WebDAV の DELETE において、前提条件失敗時に正しく失敗するよう修正されました。

* ExtendedAccessLogValve のエスケープ処理が、他の AccessLogValve 実装と一致するよう修正されました。

* 69967 の修正後に発生していた、コミット後レスポンス内で特殊ヘッダーが重複する問題が修正されました。(70000)

* 認証済みユーザー全員を対象とする特殊ロール「**」のみを指定したセキュリティ制約にマッピングされた URI の処理が修正されました。認証なしリクエストに対して、本来の 401 ではなく 403 が返却される問題が修正されました。

* StandardContext.getServletContext() における競合状態が修正され、コンテキスト再読み込み時に jakarta.servlet.context.tempdir 属性が失われる問題が解消されました。context フィールドは volatile 化され、ロックにより ApplicationContext インスタンスが 1 つのみ生成されるようになりました。

* Windows 認証（Kerberos）のドキュメントが更新され、Java および Windows の双方で RC4-HMAC サポートが廃止されつつある／既に廃止されたことが反映されました。ガイドでは AES256-SHA1 を使用するようになりました。

* WebDAV に新しい初期化パラメータ maxRequestBodySize が追加され、LOCK および PROPFIND における WebDAV リクエストボディサイズを制限できるようになりました。デフォルト値は 4096 バイトです。

* DIGEST 認証における無効ユーザーの処理が修正されました。

* RealmBase が拡張子ベースのセキュリティ制約をすべて正しく検出できるよう修正されました。

不具合修正(Coyote)

* setHeader(String,String) または addHeader(String,String) により無効な Content-Length が設定された場合でも、常に以前の値をクリアし、無効な新値を無視することで、さまざまなエッジケースを回避するようになりました。

* HTTP/2 における一部ストリームエラーメッセージの細かな問題が修正されました。

* 正規化処理時に NULL バイトを含む URI を一貫して拒否するよう修正されました。

* FFM 使用時に TLS キーおよび証明書読み込みエラーパスで発生する軽微なメモリリークが修正されました。

* HTTP/2 ヘッダー処理後のクリーンアップ処理がリファクタリングされ、ストリームリセット後の GC 効率が向上しました。

* HTTP/2 の trailer フィールド処理が HTTP/1.1 と整合するよう修正され、trailer で許可されていないフィールドが除外されるようになりました。

* FFM ベースのコネクタ設定において、使用後に秘密鍵を解放するよう修正されました。

* HTTP/2 の HPACK ヘッダーデコード処理における稀なパース不具合が修正され、有効なヘッダーによって予期しない接続切断が発生する問題が解消されました。

* HTTP/2 HPACK エンコード処理がリファクタリングされ、ヘッダーフィールド名の小文字変換が 1 回のみ行われるようになりました。

* HTTP/2 ヘッダーフィールド検証処理が前倒しで実施されるようになり、大文字だけでなく禁止文字についても検証されるようになりました。

* OpenSSL 4.0 で追加された TLS 1.3 グループに対応しました。

* HTTP/2 の :scheme 擬似ヘッダーが TLS 使用有無と整合していることを検証するようになりました。

* 擬似ヘッダーおよび CONNECT リクエストの検証処理が RFC 9113 セクション 8.5 に準拠するよう修正されました。

* 接続レベルのウィンドウ更新から個別 HTTP/2 ストリームへ容量割り当てを行う際に発生し得た整数オーバーフロー問題が修正されました。

* AJP シークレット比較処理が定数時間アルゴリズムへ変更されました。

不具合修正(WebSocket)

* DIGEST 認証を必要とするプロキシ経由で WebSocket エンドポイントへ初回接続する際の問題が修正されました。

不具合修正(Other)

* CDDL 1.0 ライセンス URLが更新されました。(69993)

機能追加・改良(Catalina)

* version.sh および version.bat にて、APR / Tomcat Native / OpenSSL のバージョン情報（APR および FFM 実装の両方）や、バージョン互換性警告、サードパーティライブラリのバージョン情報が表示されるようになりました。

* アクセスログの remote user 要素生成処理がリファクタリングされ、不要なコードが削除されました。

* LockOutRealm に新しい caseSensitive 属性が追加され、ロック判定時のユーザー名の扱いを制御できるようになりました。デフォルトは false で、ユーザー名は大文字小文字を区別せず扱われます。

機能追加・改良(Coyote)

* HPACK 動的ヘッダーテーブル実装における実インデックス計算処理がリファクタリングされ、コード重複が削減されました。

機能追加・改良(Other)

* OpenSSL バイナリが見つからない場合に警告を表示するようになりました。

* Tomcat Native ライブラリの存在チェックが追加され、利用されていない場合に警告ログを出力するようになりました。これにより、スイートで利用されていないことを把握しやすくなりました。

* Byte Buddy が 1.18.8 に更新されました。

* Bouncy Castle が 1.84 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳改善が反映されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.118_(remm)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.118

脆弱性修正

* FFM が使用され、かつソフトフェイルが無効化されている場合でも、一部のシナリオにおいて CLIENT_CERT 認証が期待どおり失敗しない問題がありました。(CVE-2026-34500)

* クラスタリングコンポーネントのクラウドメンバーシップにおいて、ログファイルへの機密情報挿入の脆弱性により、Kubernetes のベアラートークンが漏洩する可能性がありました。(CVE-2026-34487)

* CVE-2026-29146 の修正における不備により、EncryptInterceptor がバイパスされる問題がありました。(CVE-2026-34486)

* Connector 属性の relaxedPathChars および/または relaxedQueryChars にデフォルト以外の値が設定されている場合、エスケープ処理が不完全となり、JSON アクセスログへ任意の JSON を注入できる問題がありました。(CVE-2026-34483)

不具合修正(Catalina)

* アクセスログにおいて、URI およびクエリ文字列のエスケープが追加されました。

不具合修正(Coyote)

* 無効な HEADERS フレームが受信された場合に、GOAWAY フレームなしで接続が閉じられてしまう可能性があった HTTP/2 ヘッダーフレーム解析の不具合が修正されました。

* NIO+TLS におけるノンブロッキングフラッシュ処理の不具合が修正され、接続が閉じられるまでレスポンスが完全に書き込まれない問題が修正されました。(69982)

* ストリームリセット後に、HTTP/2 リクエストヘッダー読み取りバッファが（デフォルトサイズへの復元を含めて）リセットされるようになりました。

* 各種 OCSP のエッジケースにおいて、OpenSSL FFM の挙動が Tomcat Native と一致するように調整されました。

不具合修正(Cluster)

* Kubernetes への接続試行および失敗時のログ出力の冗長性が削減されました。

* EncryptInterceptor におけるエラーハンドリングが改善されました。

機能追加・改良(Coyote)

* tomcat-native における OpenSSLEngine のバッファ再利用が、FFM コードと整合するように調整されました。

* トレーラーフィールドに対して、非トレーラーフィールドと同等のフィルタリングが提供されるようになりました。制御文字 (TAB を除く) およびコードポイント 255 を超える文字はスペースに置き換えられるようになりました。

機能追加・改良(Other)

* bnd が 7.2.3 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.117_(remm)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.117

不具合修正(Catalina)

* getHeader メソッドなどを使用した際の Content-Length および Content-Type ヘッダーに関する不整合が修正されました。(69967)

* LoadBalancerDrainingValve におけるリダイレクト処理が改善されました。(69940)

不具合修正(Coyote)

* クローズ後に TLS チャネルをリセットする際、クローズ状態が変更されないよう修正されました。(69938)

* OCSP レスポンスのサイズ制限が追加されました。

* OpenSSL 開発ブランチとの整合性を維持するため、SSLHostConfig 要素の ciphers 属性を設定する際に、SSLv3、EXPORT、EXPORT40、EXPORT56、KRB5、kFZA、aFZA、eFZA、および FZA の各エイリアスはサポートされなくなりました。

* OpenSSL 開発ブランチとの整合性を維持するため、SSLHostConfig 要素の ciphers 属性を設定する際に、ARIAGCM および CBC の各エイリアスのサポートが追加されました。

* Connector のグループ設定において jdk.tls.namedGroups システムプロパティの値が尊重されるようになりました。

* TLS 1.3 対応後に無視されていた暗号スイート順序が再び尊重されるようになりました (TLS 1.3 は常に先頭)。(69964)

* 証明書取得失敗時に FFM コード内で x509 オブジェクトが解放されるようになりました。

* HPACK 例外処理が改善され、想定外の例外ではなく HpackException がスローされるようになりました。

* HTTP Host ヘッダーおよび :authority のポートが Long ではなく Integer に変換されるようになりました。

* HTTP/2 ヘッダー検証が緩和され、不正リクエスト時は接続リセットではなく適切なレスポンスが返るようになりました。

* chunked 転送エンコーディングの拡張の検証が追加されました。

* OCSP TRY_LATER 応答の FFM 処理が Tomcat Native と一致するよう修正されました。

* FFM コードにおいて、SSL_CTX_add_client_CA 呼び出し後に CA 証明書が解放されるようになりました。

* FFM コードにおいて、エラーが発生した場合に証明書チェーンが解放されるようになりました。

* FFM コードにおいて、ハンドシェイクの問題が IllegalStateException ではなく SSLException として報告されるようになりました。

* プロトコルホスト名の大文字小文字処理が修正されました。

不具合修正(Jasper)

* AstValue において PropertyNotFoundException の代わりに ArrayOutOfBoundsException が発生する問題が修正されました。(69948)

不具合修正(Cluster)

* Kubernetes メンバーシッププロバイダにおいて raw IPv6 がサポートされるようになりました。(69970)

不具合修正(WebSocket)

* DIGEST 認証ヘッダー内の不要なスペースが削除されました。(69972)

機能追加・改良(Coyote)

* 圧縮有効時に圧縮対象外とするエンコーディングを制御できる HTTP 設定 noCompressionEncodings が追加されました。

* HTTP/2 接続のクローズ時に Tomcat が送信する 2 つの最終 GOAWAY フレーム間の時間を設定できるようにするため、HTTP/2 の UpgradeProtocol 要素に drainTimeout が追加されました。(69870)

* APR Connector 使用時に、NIO Connector の使用を推奨する情報ログが出力されるようになりました。

* 単一の ciphers 設定属性から ciphers および cipherSuites の併用への移行を支援するため、ciphers 属性に指定された TLS 1.3 の暗号スイートは ciphers 属性から削除され、cipherSuites 属性の末尾に追加されるようになりました。この動作は Tomcat 12.0.x 以降で削除されます。

* 単体テスト用 OCSP レスポンダーが OpenSSL 依存から Bouncy Castle ベースに置き換えられました。

* Tomcat Native の推奨バージョンが 1.3.7 に更新されました。

機能追加・改良(Jasper)

* JSP コンパイル時のソース/ターゲットとして Java 27 が指定できるようになりました。これらの値をサポートしていない Eclipse JDT コンパイラのバージョンで使用した場合は、警告がログに出力され、デフォルト値が使用されるようになりました。

機能追加・改良(Cluster)

* EncryptInterceptor に JPA プロバイダの新しいアルゴリズム対応が追加されました。

機能追加・改良(Web applications)

* HTML マネージャアプリケーションのフィールドに が追加されました。(69931)

機能追加・改良(Other)

* Apache Commons BCEL が 6.12.0 に更新されました。

* Tomcat Native が 1.3.7 に更新されました。

* Objenesis が 3.5 に更新されました。

* Byte Buddy が 1.18.7 に更新されました。

* BND が 7.2.1 に更新されました。

* フランス語翻訳が改善されました。

* 中国語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.116_(remm)

本リリースノートには Tomcat バージョン 9.0.115 および 9.0.114 のリリース情報が記載されています。9.0.114 は単独ではリリースされていません。

9.0.115

脆弱性修正

* OCSP を使用する場合、Tomcat の OpenSSL を使用したFFM統合では、OCSP レスポンスの検証および有効性 (フレッシュネス) の確認が完全に実施されていませんでした。その結果、証明書の失効確認が回避される可能性があります。(CVE-2026-24734)

不具合修正(Coyote)

* Tomcat のシャットダウン時にクラッシュを引き起こす可能性があった、OpenSSLEngine リソースの同時解放および Tomcat Native ライブラリの終了が防止されるように修正されました。

機能追加・改良(Other)

* GPG によるリリース成果物の署名を任意で無効化できるプロパティ「gpg.sign.files」が追加されました。

9.0.114

不具合修正(Catalina)

* リソースキャッシュが有効な Web アプリケーション内から ClassLoader.getResource().getContent() を呼び出した際、対象リソースが JAR ファイル内にある場合に失敗していた長年のリグレッションに対して、追加修正が行われました。(69623)

* CsrfPreventionFilter において、URL に複数の CSRF トークンが追加されないよう修正されました。

* content-length ヘッダーが設定されていない場合でも、HTTP/2 リクエストのリクエストパラメータが正しく解析されるようになりました。(69918)

* Rewrite Valve において URL エンコードエラーが発生した場合、置換文字を黙って使用するのではなく、例外がスローされるようになりました。

不具合修正(Coyote)

* TLS が有効なカスタムコネクタ使用時に発生する可能性があった NPE が回避されるように修正されました。

* FFM コードで暗号スイートリストを設定した際の警告が、tomcat-native の変更内容と一致するよう改善されました。

* ソケットクローズ直後に TLS オブジェクトが解放されるようになり、メモリ効率が改善されました。(69910)

* SSLHostConfig における JSSE と OpenSSL の設定スタイルチェックが緩和され、信頼属性とそれ以外の属性で異なる設定スタイルを使用できる既存実装が反映されました。

* JSSE の TLS 実装で OpenSSLConf の設定要素を使用した場合の警告メッセージが改善されました。

* FFM 経由で OpenSSL を使用する場合、CA 証明書が設定されていない、かつ設定失敗もしていない場合には、CA 証明書欠如の警告が出力されなくなりました。

* LibreSSL 3.5 未満のバージョンとの互換性を確保するため、OpenSSL FFM コードが修正されました。

* Tomcat のシャットダウン時にクラッシュを引き起こす可能性があった、OpenSSLEngine リソースの同時解放および Tomcat Native ライブラリの終了が防止されるように修正されました。

不具合修正(Jasper)

* 69333 に対する前回修正で発生していたリグレッションが修正され、タグに対して必ず reuse() または release() が呼び出されるようになりました。(69333)

不具合修正(WebSocket)

* WebSocket セッションから取得した Writer または OutputStream がクローズされている状態で書き込みを試みた場合、Writer で要求され、OutputStream で強く推奨されているとおり、IllegalStateException ではなく IOException がスローされるようになりました。(69920)

機能追加・改良(Catalina)

* Tomcat Native の最小および推奨バージョンが 1.3.4 に更新されました。

* Tomcat が提供する Authenticator に ssoReauthenticationMode が追加され、SSO Valve の requireReauthentication 属性を Authenticator ごとに上書きできるようになりました。

機能追加・改良(Coyote)

* OpenSSL と JSSE の TLS 実装間の設定整合性確保のため、SSLHostConfig の ciphers 属性に含まれる TLSv1.3 の暗号スイートは常に無視されるようになり、無視された場合は警告がログに出力されるようになりました。

* TLSv1.3 の暗号スイートを設定するための ciphersuite 属性が SSLHostConfig に追加されました。

* JSSE ベースの TLS コネクタに OCSP サポートが追加され、JSSE および OpenSSL ベースの TLS 実装の双方において、コネクタごとに OCSP の使用可否を設定できるようになりました。また、OpenSSL のチェック内容が JSSE と整合されました。

* OCSP チェックにおいて、失敗を致命的としないソフトフェイルがサポートされるようになりました。(デフォルトでは無効)

* OpenSSL ベースの TLS 実装使用時に、OCSP_basic_verify に渡される検証フラグを設定できるようになりました。

機能追加・改良(Cluster)

* mapSendOptions に人間が読める名前を使用できることが文書化され、channelSendOptions とドキュメント内容が整合されました。(62814)

機能追加・改良(Other)

* テスト実行中の JUnit コンソール出力を抑制する test.silent プロパティが追加されました。複数スレッドでテストを実行する際に、コンソール出力を簡潔にできるようになりました。

* 内部フォークの Commons Pool が 2.13.1 に更新されました。

* 内部フォークの Commons DBCP が 2.14.0 に更新されました。

* Commons Daemon が 1.5.1 に更新されました。

* ByteBuddy が 1.18.3 に更新されました。

* UnboundID が 7.0.4 に更新されました。

* Checkstyle が 12.3.1 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* 中国語翻訳が改善されました。

* Tomcat Native が 1.3.5 に更新されました。

詳細は以下をご覧ください。
https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.115_(remm)

脆弱性修正

* Tomcat が HTTP/0.9 リクエストの GET メソッドに対する制限を行っていませんでした。セキュリティ制限がURIに対しての HEAD リクエストを許可していて GET リクエストを拒否している場合、ユーザは HTTP/0.9 による不正な HEAD リクエストを送信することにより、GET リクエストに対する制限を迂回することができる可能性がありました。(CVE-2026-24733)

* Tomcat は、SNI 拡張機能で提供されたホスト名が HTTP の Host ヘッダーフィールドで提供されたホスト名と同一であることを検証していませんでした。Tomcat が複数のバーチャルホストで構成されており、そのうちの1つのホストの TLS 設定ではクライアント証明書認証が不要で、別のホストでは必要である場合、クライアントは SNI 拡張と HTTP の Host ヘッダーフィールドに異なるホスト名を送信することで、クライアント証明書認証を回避できる可能性がありました。この脆弱性は、クライアント証明書認証が Connector でのみ強制されている場合に限り適用されます。クライアント証明書認証が Web アプリケーション側で強制されている場合には適用されません。(CVE-2025-66614)

不具合修正(Catalina)

* Rewrite Valve の設定が不足している場合のログレベルが INFO に引き上げられました。(69871)

* Host の appBase に不審な値が指定されている場合について、追加の警告ログが出力されるようになりました。

* catalina.jar が tomcat-jni.jar にハード依存しないように変更されました。org.apache.catalina.Connector は org.apache.tomcat.jni.AprStatus の存在を必要としなくなりました。

* SPNEGO 認証における SSO 再認証の挙動が変更されました。SSL Valve に再認証が有効に設定されている場合、通常の SPNEGO 認証が実行されるようになりました。これにより、委譲された資格情報が Web アプリケーションから利用可能になりました。

不具合修正(Coyote)

* KeyStore インスタンスが Connector に直接設定されている場合、TLS Connector 作成時に誤った証明書 KeyStore の場所がログに出力されないようになりました。

* HTTP/0.9 では HTTP メソッドとして GET のみが許可されるようになりました。

不具合修正(Jasper)

* クラスパス作成時に URI を処理する際、無効な URI に対応するため IllegalArgumentException が捕捉されるようになりました。(69877)

* Web アプリケーションのクラスローダーのリポジトリを用いたクラスパスの設定処理が修正されました。

不具合修正(Clustering)

* 9.0.109 で導入された、一部のクラスタリング設定が動作しなくなる不具合が修正されました。

不具合修正(Web Applications)

* Manager: 1 つ以上の Web アプリケーションが起動に失敗した場合に、HTML および JSON の完全なサーバーステータス出力が途中で切れてしまう問題が修正されました。

不具合修正(jdbc-pool)

* 基盤となるコネクションがすでにクローズされている場合、返却時にプールへ追加されないようになりました。(64083)

機能追加・改良(Catalina)

* CrawlerSessionManagerValve において、クライアント識別子を生成するためのカスタム関数を使用できるようになりました。本機能はプログラムからのみ利用可能です。

機能追加・改良(Coyote)

* Connector に strictSNI 属性が追加されました。これにより、SNI ホスト名に基づいて関連付けられた SSLHostConfig 設定と、HTTP プロトコルのホスト名から一致した SSLHostConfig 設定の整合性が検証されるようになりました。一致しない場合、リクエストは拒否されるようになりました。デフォルト値は true で、検証が有効になっています。

機能追加・改良(Web Applications)

* Manager: HTML および JSON の完全なサーバーステータス出力に、Web アプリケーションの状態が含まれるようになりました。

* Documentation: OCSP がサポートされる場合とされない場合について、より分かりやすく説明するためにドキュメントが拡充されました。

機能追加・改良(Other)

* 選択的にテストを実行するためのテストプロファイル機構が追加されました。-Dtest.profile= を指定することで、パターンを直接指定せずに特定のテストサブセットを実行できるようになりました。プロファイルパターンは test-profiles.properties で定義されます。

* ファイル拡張子とメディアタイプのマッピングが、Apache Web Server（httpd）で使用されている最新の一覧に合わせて更新されました。

* Commons Daemon が 1.5.0 に更新されました。

* Byte Buddy が 1.18.2 に更新されました。

* Checkstyle が 12.2.0 に更新されました。

* スペイン語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.113_(remm)

不具合修正(Catalina)

* Loader におけるクラスパス生成時、個々のクラスパスコンポーネントのチェック順が見直され、NullPointerException が発生する可能性が回避されました。

* JNDI Realm における SSL ソケットファクトリ設定が修正されました。

不具合修正(Coyote)

* FFM コードにおいて、BoringSSL での OCSP 処理が正常に失敗するよう改善されました。

* OpenSSL プロバイダ使用時にトラストストアで発生していたメモリリークが修正されました。(69866)

* AJP メッセージ長チェックが修正されました。

不具合修正(Jasper)

* Servlet 例外のラッピング解除時に NPE が発生し、例外情報の一部が隠れてしまう問題が修正されました。(69862)

機能追加・改良(Catalina)

* MessageDigestCredentialHandler に digestInRfc3112Order 属性が追加され、クレデンシャルとソルトをどの順序でダイジェストするかが制御可能になりました。デフォルトでは、現在の RFC 3112 非準拠の「ソルト → クレデンシャル」の順序が使用されます。このデフォルトは Tomcat 12 では RFC 3112 準拠の「クレデンシャル → ソルト」に変更される予定です。

機能追加・改良(Other)

* 内部フォークの Apache Commons BCEL が 6.11.0 に更新されました。

* Byte Buddy が 1.17.8 に更新されました。

* Checkstyle が 12.1.1 に更新されました。

* Jacoco が 0.8.14 に更新されました。

* SpotBugs が 4.9.8 に更新されました。

* JSign が 7.4 に更新されました。

* Maven Resolver Ant Tasks が 1.6.0 に更新されました。

* フランス語翻訳が改善されました。

* 日本語翻訳の改善が取り込まれました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.112_(remm)

不具合修正(Catalina)

* ドキュメントに準拠していない SSO 構成が検出された場合に、ログに警告を出すようになりました。

* Windows 環境で実行した際、Loader によって生成されるクラスパスが破損する問題が修正されました。(69837)

* 無効な Windows ファイル名にマッピングされるリクエストを、より早い段階で拒否するようになりました。

* セッションID の変更 (主に認証後など) が SSO Valve に適切に伝播されるようになり、セッションの有効期限切れ時に SSO エントリが正しくクリーンアップされるようになりました。(69839)

* FileStore の保存場所を作成する際に発生する可能性があった競合状態が修正されました。

不具合修正(Coyote)

* バージョン 9.0.110 において、AJP コネクタ経由で受信した DELETE リクエストが誤って OPTIONS として処理され、PROPFIND リクエストが TRACE として処理されていた問題が修正されました。(69848)

不具合修正(WebSocket)

* Java 25 以降で permessage-deflate を使用する際、Inflater や Deflater がクローズ時に NullPointerException ではなく IllegalStateException をスローするようになりました。(69845)

機能追加・改良(Catalina)

* RemoteAddrFilter および RemoteAddValve が非推奨となり、代わりに RemoteCIDRFilter と RemoteCIDRValve が推奨されるようになりました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.111_(remm)

脆弱性修正

* マルチパートアップロードの処理中にエラー (制限の超過を含む) が発生した場合、ローカルストレージに書き込まれたアップロードされた各パートの一時コピーは直ちに削除されず、ガベージコレクションプロセスによる削除に委ねられていました。JVM の設定、アプリケーションのメモリ使用量、およびアプリケーションの負荷によっては、ガベージコレクションがこれらを削除するよりも速く一時コピーのための領域が埋まってしまい、サービス拒否 (DoS) につながる可能性がありました。(CVE-2025-61795)

不具合修正(Catalina)

* 69781 の修正によって発生した FileStore の不具合が修正されました。

* HTTP メソッドは大文字小文字を区別する仕様であるため、メソッド比較時に常に大文字小文字を区別して比較するようになりました。

* クライアントがセッションに参加した後、HttpSession.isNew() が false を返すようになりました。(69814)

* ParameterMap のパフォーマンスがさらに改善されました。

* トレーラーヘッダーの許可リストにおける大文字小文字の区別に関する問題が修正されました。

* マルチパートアップロードの失敗時に、一時ファイルをガベージコレクション任せにせず、積極的にクリーンアップするようになりました。

不具合修正(Coyote)

* HTTP リクエストヘッダー名の大文字小文字を強制的に小文字化せず、元の表記を保持して格納するようになりました。

不具合修正(Cluster)

* チャネル設定 (送信者、受信者、メンバーシップ サービス) が、チャネルが完全に停止していない状態では変更できないようになりました。

不具合修正(Web applications)

* ドキュメントが更新され、Connector 要素の maxPostSize 属性の目的が明確になりました。

* Manager Web アプリで証明書情報を表示する際に発生していた NullPointerException を回避するように修正されました。

機能追加・改良(Catalina)

* 強いETag (有効な場合) の計算に使用するハッシュ関数が、SHA-1 から SHA-256 に変更されました。これは、RFC 9110 で推奨されている「強い ETag の生成には衝突耐性のあるハッシュ関数を使用すべき」という指針に沿った対応です。

機能追加・改良(Coyote)

* TLS 1.3 においてポスト量子暗号に対応する証明書選択ロジックが追加されました。MLDSA タイプで定義された証明書は、TLS クライアントの Hello メッセージに応じて選択されるようになりました。

* SSLHostConfig に groups 属性が追加され、SSL エンジンで有効化できるグループを制限できるようになりました。

* HTTP メソッドをバイト形式から文字列形式に変換する処理が最適化されました。

機能追加・改良(Other)

* Byte Buddy が 1.17.7 に更新されました。

* Checkstyle が 11.1.0 に更新されました。

* SpotBugs が 4.9.6 に更新されました。

* Jsign が 7.2 に更新されました。

* ロシア語翻訳が改善されました。

* フランス語翻訳が改善されました。

* 日本語翻訳が改善されました。

* JULI ロガーにおける軽微なリファクタリングが行われました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.110_(remm)

脆弱性修正

* Tomcat はログメッセージ内の ANSI エスケープシーケンスをエスケープしていませんでした。Tomcat が Windows 上のコンソールで実行されており、そのコンソールが ANSI エスケープシーケンスをサポートしている場合、攻撃者は特別に細工された URL を使用して ANSI エスケープシーケンスを注入し、コンソールやクリップボードを操作して、管理者に攻撃者が制御するコマンドを実行させようとすることが可能でした。既知の攻撃経路は確認されていませんが、他のオペレーティングシステムでもこの攻撃が成立する可能性があります。(CVE-2025-55754)

* バグ 60013 の修正により、書き換えられた URL がデコードされる前に正規化されるというリグレッションが発生していました。これにより、クエリパラメータを URL に書き換えるリライトルールにおいて、攻撃者がリクエスト URI を操作し、/WEB-INF/ や /META-INF/ の保護を含むセキュリティ制約を回避できる可能性が生じました。さらに、PUT リクエストが有効になっている場合、悪意のあるファイルがアップロードされ、リモートコード実行につながる可能性があります。PUT リクエストは通常、信頼されたユーザーに限定されており、URI を操作するリライトと併用して有効化される可能性は低いと考えられます。(CVE-2025-55752)

不具合修正(Catalina)

* PersistentValve 使用時にセッション FileStore 実装で発生していた同時アクセスの問題が修正され、セッションが失われる不具合が解消されました。(69781)

* RewriteValve における QSA および QSD フラグの処理が修正されました。

不具合修正(Coyote)

* HPACK の整数デコード時に発生する可能性があったオーバーフロー問題に対する追加修正が行われました。(69762)

* PEMFile が処理に失敗した場合でも、適切なログを出力した上で OpenSSL に鍵が渡されるようになりました。

* PEMFile に新しい ML-DSA 鍵アルゴリズムが追加され、鍵の読み込みに失敗した際のレポートが改善されました。

* 待機中のスレッドが意図せず起こされることによって発生する可能性があったネットワーク操作の早期タイムアウトが修正されました。

不具合修正(Cluster)

* NonBlockingCoordinator におけるリーダー選出時の意図せずスレッドが再開される問題が修正されました。

* RpcChannel によるメッセージ送信時の意図せずスレッドが再開される問題が修正されました。

機能追加・改良(Catalina)

* 不要なパッケージが catalina-deployer.jar から削除されました。

機能追加・改良(Other)

* ログ出力の見直しが行われ、例外が発生した際のエラーや警告のログにおいて、従来の例外メッセージのみではなく、フルスタックトレースと例外メッセージがデフォルトで含まれるようになりました。

* ログフォーマッターにエスケープ処理が追加され、JSON フォーマッターとの整合性が取られるようになりました。

* Checkstyle が 11.0.0 に更新されました。

詳細は以下をご覧ください。

https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.109_(remm)