このドキュメントは 2026 年 7 月 7 日にリリースされた Tomcat 9.0.120 のリリースノートの日本語訳です。
ダウンロードは Tomcat ダウンロードより行えます。
以下はリリースの詳細と、最新情報およびドキュメントを補足するその他情報について記載しています。
脆弱性修正
* EncryptInterceptor を安全に構成するための要件が明確に文書化されていない問題が修正されました。(CVE-2026-59084)
* RewriteValve において、+ が誤って空白文字としてデコードされることにより、セキュリティ制御を回避できる可能性がある問題が修正されました。(CVE-2026-59083)
不具合修正(Catalina)
* シングルトン JNDI リソースに対する同時検索時に発生する競合状態を回避するよう修正されました。
* デフォルトサーブレットにおける範囲検証のパフォーマンスが改善されました。
* RewriteValve で発生する NPE が修正されました。
* パブリックコンストラクターが復元され、リフレクション経由での Bootstrap の使用が修正されました。スクリプト経由での使用には影響ありませんでした。(70127)
* AbstractAccessLogValve を継承して多くの要素クラスを拡張できるよう復元されました。
* DIGEST 認証が RFC 7616 に準拠するよう改善され、有効な qop パラメーターの指定がクライアントに必須となりました。
* antiLockingDocBase が有効な場合、一時的な docBase の作成に Files API を使用するよう変更されました。
* DataSourceRealm の起動時における設定の検証が改善されました。
* JAASRealm で、ログインが失敗しないものの Principal が生成されなかった場合に、ログアウト処理を実行するよう修正されました。
* SSI の置換、引用符処理、およびエスケープ処理に関するさまざまなエッジケースが修正されました。
* RewriteValve のルール処理中に、リテラルの「+」が意図せず空白へ変換される問題が修正されました。
不具合修正(Coyote)
* コネクターが TLS に OpenSSL と Tomcat Native を使用するよう明示的に設定されている場合に、適切なバージョンの Tomcat Native が利用できないと JVM がクラッシュする可能性がある問題が修正されました。
* 9.0.119 で混入したリグレッションにより、一部のリクエストボディーを Reader 経由で読み取れなくなる問題が修正されました。
不具合修正(Jasper)
* 69399 の修正（69333 の修正で発生したリグレッションへの対応）が不完全であり、doStartTag() および doEndTag() で例外を送出したタグが誤って再利用される問題が修正されました。この修正により、そのような例外が発生したタグは再利用されなくなりました。(70120)
* セキュリティクラスローダーのリグレッションが修正されました。(70135)
不具合修正(WebSocket)
* WebSocket 拡張機能 permessage-deflate において、圧縮メッセージの展開後サイズが利用可能なバッファーを超えた場合にデータが欠落する問題が修正されました。(70126)
* WebSocket の HTTP アップグレード処理中における、サーバー応答に対する WebSocket クライアントの処理が最適化されました。
機能追加・改良(Jasper)
* JSP コンパイル時のコンパイラーソースおよびコンパイラーターゲットとして Java 28 を指定できるようになりました。これらの値をサポートしていない Eclipse JDT コンパイラーを使用した場合は、警告が出力され、既定値が使用されます。
機能追加・改良(Other)
* Byte Buddy が 1.18.9 に更新されました。
* UnboundID が 7.0.5 に更新されました。
* JaCoCo が 0.8.15 に更新されました。
* BND が 7.3.0 に更新されました。
* フランス語翻訳が改善されました。
* 日本語翻訳が改善されました。
詳細は以下をご覧ください。
https://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.120_(remm)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.120