远程主机上安装的 Tomcat 版本低于 10.1.60。因此，如公告 fixed_in_apache_tomcat_10.1.60_security-10 所述，受到多个漏洞的影响。

  - 在 Apache Tomcat 中禁用软故障漏洞时，CLIENT_CERT认证不会如预期般失败。此问题影响以下 Apache Tomcat 版本： 11.0.0-M14 至 11.0.25、10.1.22 至 10.1.59、9.0.92 至 9.0.121。建议用户升级到已修复此问题的版本 11.0.26、 10.1.60 或 9.0.122。(CVE-2026-86248)

  - 在 Apache Tomcat 中，无限制的资源分配或节流漏洞允许未经认证的 AJP 请求固定 AJP 处理线程，从而导致拒绝服务。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M1 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：8.5.0 至 8.5.100、7.0.0 至 7.0.109。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、10.1.60 或 9.0.122 版本。
    (CVE-2026-78383)

  - 未正确检查 Apache Tomcat 中的证书吊销漏洞。OpenSSL 和 OpenSSL-FFM TLS 实现在证书使用密钥库时均忽略 CRL。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.58、9.0.0-M1 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：从 8.5.0 至 8.5.100。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、 10.1.59 和 9.0.122 版本。(CVE-2026-73581)

  - Apache Tomcat 中的不当认证漏洞。当 Jakarta Authentication 将 SimpleAuthConfigProvider 配置为默认提供程序，并且多个 Web 应用程序使用该提供程序时，第一个 Web 应用程序验证请求的领域将用于所有 Web 应用程序。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M4 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：从 8.5.0 至 8.5.100。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、 10.1.60 和 9.0.122 版本。(CVE-2026-75973)

  - 在 Apache Tomcat 中通过备用名称绕过认证漏洞，允许绕过任何 WebSocket 端点的安全限制。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M1 至 9.0.121。以下版本在创建 CVE 时为 EOS，但已知会受到影响： from 8.5.0 through 8.5.100， from 7.0.43 到 7.0.109。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的版本 11.0.26、 10.1.60 或 9.0.122。(CVE-2026-76183)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tomcat 版本低于 11.0.26。因此，如公告 fixed_in_apache_tomcat_11.0.26_security-11 所述，受到多个漏洞的影响。

  - 在 Apache Tomcat 中禁用软故障漏洞时，CLIENT_CERT认证不会如预期般失败。此问题影响以下 Apache Tomcat 版本： 11.0.0-M14 至 11.0.25、10.1.22 至 10.1.59、9.0.92 至 9.0.121。建议用户升级到已修复此问题的版本 11.0.26、 10.1.60 或 9.0.122。(CVE-2026-86248)

  - 在 Apache Tomcat 中，无限制的资源分配或节流漏洞允许未经认证的 AJP 请求固定 AJP 处理线程，从而导致拒绝服务。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M1 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：8.5.0 至 8.5.100、7.0.0 至 7.0.109。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、10.1.60 或 9.0.122 版本。
    (CVE-2026-78383)

  - 未正确检查 Apache Tomcat 中的证书吊销漏洞。OpenSSL 和 OpenSSL-FFM TLS 实现在证书使用密钥库时均忽略 CRL。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.58、9.0.0-M1 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：从 8.5.0 至 8.5.100。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、 10.1.59 和 9.0.122 版本。(CVE-2026-73581)

  - Apache Tomcat 中的不当认证漏洞。当 Jakarta Authentication 将 SimpleAuthConfigProvider 配置为默认提供程序，并且多个 Web 应用程序使用该提供程序时，第一个 Web 应用程序验证请求的领域将用于所有 Web 应用程序。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M4 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：从 8.5.0 至 8.5.100。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、 10.1.60 和 9.0.122 版本。(CVE-2026-75973)

  - 在 Apache Tomcat 中通过备用名称绕过认证漏洞，允许绕过任何 WebSocket 端点的安全限制。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M1 至 9.0.121。以下版本在创建 CVE 时为 EOS，但已知会受到影响： from 8.5.0 through 8.5.100， from 7.0.43 到 7.0.109。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的版本 11.0.26、 10.1.60 或 9.0.122。(CVE-2026-76183)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Tomcat 版本低於 10.1.60。因此，它會受到 fixed_in_apache_tomcat_10.1.60_security-10 公告中提及的多個弱點的影響。

  - 在Apache Tomcat中停用軟性失敗弱點時，在某些情況下，CLIENT_CERT驗證不會如預期失敗。此問題影響以下版本的 Apache Tomcat：11.0.0-M14 至 11.0.25、10.1.22 至 10.1.59、9.0.92 至 9.0.121。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。(CVE-2026-86248)

  - 在 Apache Tomcat 中無限制地配置資源或節流弱點，允許未經驗證的 AJP 要求釘選 AJP 處理執行緒，進而導致拒絕服務。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M1 至 9.0.121 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100 和 7.0.0 至 7.0.109。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。
    (CVE-2026-78383)

  - Apache Tomcat 中的憑證撤銷弱點檢查不當。當憑證使用金鑰儲存庫時，OpenSSL 和 OpenSSL-FFM TLS 實作都會忽略 CRL。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.58、9.0.0-M1 至 9.0.121。下列版本在建立 CVE 時已停產，但已知會受到影響：從 8.5.0 至 8.5.100。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.59、9.0.122 版，即可修正此問題。(CVE-2026-73581)

  - Apache Tomcat 中存在不當驗證弱點。當 Jakarta 驗證設定為 SimpleAuthConfigProvider 作為預設提供者，且多個 Web 應用程式使用該提供者時，第一個驗證要求的 Web 應用程式的領域將用於所有 Web 應用程式。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M4 至 9.0.121 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：從 8.5.0 至 8.5.100。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60、9.0.122 版，即可修正此問題。(CVE-2026-75973)

  - Apache Tomcat 中的「透過替代名稱驗證繞過」弱點允許繞過任何 WebSocket 端點的安全性限制。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M1 至 9.0.121 (含)。下列版本在建立 CVE 時是 EOS，但已知會受到影響： from 8.5.0 through 8.5.100、 7.0.43 from through 7.0.109。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。(CVE-2026-76183)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Tomcat 版本低於 11.0.26。因此，它會受到 fixed_in_apache_tomcat_11.0.26_security-11 公告中提及的多個弱點的影響。

  - 在Apache Tomcat中停用軟性失敗弱點時，在某些情況下，CLIENT_CERT驗證不會如預期失敗。此問題影響以下版本的 Apache Tomcat：11.0.0-M14 至 11.0.25、10.1.22 至 10.1.59、9.0.92 至 9.0.121。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。(CVE-2026-86248)

  - 在 Apache Tomcat 中無限制地配置資源或節流弱點，允許未經驗證的 AJP 要求釘選 AJP 處理執行緒，進而導致拒絕服務。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M1 至 9.0.121 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100 和 7.0.0 至 7.0.109。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。
    (CVE-2026-78383)

  - Apache Tomcat 中的憑證撤銷弱點檢查不當。當憑證使用金鑰儲存庫時，OpenSSL 和 OpenSSL-FFM TLS 實作都會忽略 CRL。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.58、9.0.0-M1 至 9.0.121。下列版本在建立 CVE 時已停產，但已知會受到影響：從 8.5.0 至 8.5.100。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.59、9.0.122 版，即可修正此問題。(CVE-2026-73581)

  - Apache Tomcat 中存在不當驗證弱點。當 Jakarta 驗證設定為 SimpleAuthConfigProvider 作為預設提供者，且多個 Web 應用程式使用該提供者時，第一個驗證要求的 Web 應用程式的領域將用於所有 Web 應用程式。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M4 至 9.0.121 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：從 8.5.0 至 8.5.100。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60、9.0.122 版，即可修正此問題。(CVE-2026-75973)

  - Apache Tomcat 中的「透過替代名稱驗證繞過」弱點允許繞過任何 WebSocket 端點的安全性限制。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M1 至 9.0.121 (含)。下列版本在建立 CVE 時是 EOS，但已知會受到影響： from 8.5.0 through 8.5.100、 7.0.43 from through 7.0.109。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。(CVE-2026-76183)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Apache Tomcat 中的不完整清理弱點允許格式錯誤的請求可能導致 （視時間而定） 導致另一個使用者的一個請求失敗。此問題影響 Apache Tomcat： from 11.0.19 through 11.0.25， from 10.1.53 through 10.1.59， from 9.0.116 through 9.0.121。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。(CVE-2026-78437)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上安裝的 Tomcat 版本低於 9.0.122。因此，會受到 fixed_in_apache_tomcat_9.0.122_security-9 公告中提及的多個弱點影響。

  - 在某些情況下，在 Apache Tomcat 中存在軟失敗停用弱點時，CLIENT_CERT 驗證不會如預期失敗。此問題影響以下版本的 Apache Tomcat：11.0.0-M14 至 11.0.25、10.1.22 至 10.1.59、9.0.92 至 9.0.121。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。(CVE-2026-86248)

  - Apache Tomcat 中存在的無限制資源分配或節流弱點，可允許未經驗證的 AJP 要求釘選 AJP 處理執行緒，進而導致拒絕服務。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M1 至 9.0.121 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100 和 7.0.0 至 7.0.109。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。
    (CVE-2026-78383)

  - Apache Tomcat 中存在憑證撤銷檢查不當弱點。當憑證使用 KeyStore 時，OpenSSL 和 OpenSSL-FFM TLS 實作都會忽略 CRL。此問題影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.58、9.0.0-M1 至 9.0.121。下列版本在建立 CVE 時已停產，但已知會受到影響：從 8.5.0 至 8.5.100。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.59、9.0.122 版，即可修正此問題。(CVE-2026-73581)

  - Apache Tomcat 中存在不當驗證弱點。當 Jakarta 驗證設定使用 SimpleAuthConfigProvider 作為預設提供者，同時多個 Web 應用程式使用該提供者時，第一個驗證要求的 Web 應用程式的領域將用於所有 Web 應用程式。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M4 至 9.0.121 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：從 8.5.0 至 8.5.100。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60、9.0.122 版，即可修正此問題。(CVE-2026-75973)

  - Apache Tomcat 中的透過替代名稱繞過驗證弱點允許繞過任何 WebSocket 端點的安全性限制。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.25 (含)、10.1.0-M1 至 10.1.59 (含)、9.0.0.M1 至 9.0.121 (含)。下列版本在建立 EOS 時已停產，但已知會受到影響：8.5.0 至 8.5.100 和 7.0.43 至 7.0.109。其他不受支持版本也可能受到影響。建議使用者升級至 11.0.26、10.1.60 或 9.0.122 版，即可修正此問題。(CVE-2026-76183)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Apache Tomcat 中的不完整清理漏洞允许畸形请求可能（取决于时间）导致另一个用户的请求失败。该问题影响 Apache Tomcat： from 11.0.19 through 11.0.25， from 10.1.53 through 10.1.59， from 9.0.116 through 9.0.121. 建议用户升级到已修复此问题的版本 11.0.26、 10.1.60 或 9.0.122。(CVE-2026-78437)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Tomcat 版本低于 9.0.122。因此，该应用程序受到 fixed_in_apache_tomcat_9.0.122_security-9 公告中提及的多个漏洞的影响。

  - 在禁用软失败的情况下，CLIENT_CERT 身份验证在某些场景下不会按预期失败，这是 Apache Tomcat 中的一个漏洞。此问题影响以下 Apache Tomcat 版本： 11.0.0-M14 至 11.0.25、10.1.22 至 10.1.59、9.0.92 至 9.0.121。建议用户升级到已修复此问题的版本 11.0.26、 10.1.60 或 9.0.122。(CVE-2026-86248)

  - 在 Apache Tomcat 中，无限制的资源分配或节流漏洞允许未经认证的 AJP 请求固定 AJP 处理线程，从而导致拒绝服务。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M1 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：8.5.0 至 8.5.100、7.0.0 至 7.0.109。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、10.1.60 或 9.0.122 版本。
    (CVE-2026-78383)

  - 未正确检查 Apache Tomcat 中的证书吊销漏洞。OpenSSL 和 OpenSSL-FFM TLS 实现在证书使用密钥库时均忽略 CRL。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.58、9.0.0-M1 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：从 8.5.0 至 8.5.100。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、 10.1.59 和 9.0.122 版本。(CVE-2026-73581)

  Apache Tomcat 身份验证不当漏洞。当 Jakarta Authentication 将 SimpleAuthConfigProvider 配置为默认提供程序，并且多个 Web 应用程序使用该提供程序时，第一个 Web 应用程序验证请求的领域将用于所有 Web 应用程序。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M4 至 9.0.121。以下版本在创建 CVE 时处于 EOL 但已知会受到影响：从 8.5.0 至 8.5.100。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的 11.0.26、 10.1.60 和 9.0.122 版本。(CVE-2026-75973)

  - 在 Apache Tomcat 中通过备用名称绕过认证漏洞，允许绕过任何 WebSocket 端点的安全限制。此问题影响以下 Apache Tomcat 版本：11.0.0-M1 至 11.0.25、10.1.0-M1 至 10.1.59、9.0.0.M1 至 9.0.121。以下版本在创建 CVE 时处于 EOS 但已知会受到影响：8.5.0 至 8.5.100、7.0.43 至 7.0.109。其他的不受支持的版本也可能受到影响。建议用户升级到已修复此问题的版本 11.0.26、 10.1.60 或 9.0.122。(CVE-2026-76183)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている Tomcat のバージョンは 10.1.60より前です。したがって、fixed_in_apache_tomcat_10.1.60_security-10のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CLIENT_CERT ソフトフェイルが無効になっている場合でも、一部のシナリオで想定通りに認証が失敗しない Apache Tomcatの脆弱性。この問題は、11.0.0-M14 から 11.0.25 まで、10.1.22 から 10.1.59 まで、9.0.92 から 9.0.121 までの Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-86248)

  - Apache Tomcat の制限のないリソース割り当てまたはスロットリング脆弱性により、認証されていない AJP リクエストが AJP 処理スレッドにピン留めし、サービス拒否を引き起こす可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。次のバージョンは CVE の作成時には EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100、7.0.0 から 7.0.109。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
    (CVE-2026-78383)

  - Apache Tomcat での証明書失効脆弱性の不適切なチェック。証明書がキーストアを使用する場合、OpenSSL および OpenSSL-FFM TLS 実装の両方が CRL を無視します。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.58 まで、9.0.0-M1 から 9.0.121 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.26、10.1.59、9.0.122 へのアップグレードをお勧めします。(CVE-2026-73581)

  - Apache Tomcat での不適切な認証の脆弱性。Jakarta 認証が SimpleAuthConfigProvider をデフォルトプロバイダーとして設定し、複数の Web アプリケーションがこのプロバイダーを使用していた場合、リクエストを最初に認証する Web アプリケーションのレルムがすべての Web アプリケーションに使用されることになります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M4 から 9.0.121 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。(CVE-2026-75973)

  - Apache Tomcat の代替名による認証バイパスの脆弱性により、任意の WebSocket エンドポイントのセキュリティ制約がバイパスされる可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。CVE作成当時はEOSでしたが、影響を受けることがわかっているバージョンは、 8.5.0 から 8.5.100まで、 7.0.43 から 7.0.109までです。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-76183)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Tomcat のバージョンは 11.0.26より前です。したがって、fixed_in_apache_tomcat_11.0.26_security-11のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CLIENT_CERT ソフトフェイルが無効になっている場合でも、一部のシナリオで想定通りに認証が失敗しない Apache Tomcatの脆弱性。この問題は、11.0.0-M14 から 11.0.25 まで、10.1.22 から 10.1.59 まで、9.0.92 から 9.0.121 までの Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-86248)

  - Apache Tomcat の制限のないリソース割り当てまたはスロットリング脆弱性により、認証されていない AJP リクエストが AJP 処理スレッドにピン留めし、サービス拒否を引き起こす可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。次のバージョンは CVE の作成時には EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100、7.0.0 から 7.0.109。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
    (CVE-2026-78383)

  - Apache Tomcat での証明書失効脆弱性の不適切なチェック。証明書がキーストアを使用する場合、OpenSSL および OpenSSL-FFM TLS 実装の両方が CRL を無視します。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.58 まで、9.0.0-M1 から 9.0.121 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.26、10.1.59、9.0.122 へのアップグレードをお勧めします。(CVE-2026-73581)

  - Apache Tomcat での不適切な認証の脆弱性。Jakarta 認証が SimpleAuthConfigProvider をデフォルトプロバイダーとして設定し、複数の Web アプリケーションがこのプロバイダーを使用していた場合、リクエストを最初に認証する Web アプリケーションのレルムがすべての Web アプリケーションに使用されることになります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M4 から 9.0.121 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。(CVE-2026-75973)

  - Apache Tomcat の代替名による認証バイパスの脆弱性により、任意の WebSocket エンドポイントのセキュリティ制約がバイパスされる可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。CVE作成当時はEOSでしたが、影響を受けることがわかっているバージョンは、 8.5.0 から 8.5.100まで、 7.0.43 から 7.0.109までです。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-76183)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache Tomcat のクリーンアップが不完全な脆弱性により、無効な形式のリクエストが(タイミングによっては)別のユーザーからのあるリクエストを失敗させる可能性があります。この問題は、Apache Tomcat: 11.0.19 から 11.0.25 まで、10.1.53 から 10.1.59 まで、9.0.116 から 9.0.121 までに影響します。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-78437)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている Tomcat のバージョンは 9.0.122より前です。したがって、fixed_in_apache_tomcat_9.0.122_security-9 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Apache Tomcat でソフトフェイルが無効化されている場合、一部のシナリオで CLIENT_CERT 認証が想定通りに失敗しない脆弱性があります。この問題は、11.0.0-M14 から 11.0.25 まで、10.1.22 から 10.1.59 まで、9.0.92 から 9.0.121 までの Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-86248)

  - Apache Tomcat の制限のないリソース割り当てまたはスロットリング脆弱性により、認証されていない AJP リクエストが AJP 処理スレッドを固定し、サービス拒否を引き起こす可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。次のバージョンは CVE の作成時には EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100、7.0.0 から 7.0.109。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。
    (CVE-2026-78383)

  - Apache Tomcat での証明書失効の不適切なチェックの脆弱性。証明書がキーストアを使用する場合、OpenSSL および OpenSSL-FFM TLS 実装の両方が CRL を無視します。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.58 まで、9.0.0-M1 から 9.0.121 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.26、10.1.59、9.0.122 へのアップグレードをお勧めします。(CVE-2026-73581)

  - Apache Tomcat の不適切な認証の脆弱性。Jakarta 認証が SimpleAuthConfigProvider をデフォルトプロバイダーとして設定し、複数の Web アプリケーションがこのプロバイダーを使用した場合、リクエストを認証する最初の Web アプリケーションのレルムがすべての Web アプリケーションに使用されることになります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M4 から 9.0.121 まで。次のバージョンは CVE の作成時に EOL でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョンであるバージョン 11.0.26、10.1.60、9.0.122 へのアップグレードをお勧めします。(CVE-2026-75973)

  - Apache Tomcat の代替名による認証バイパスの脆弱性により、任意の WebSocket エンドポイントのセキュリティ制約がバイパスされる可能性があります。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.25 まで、10.1.0-M1 から 10.1.59 まで、9.0.0.M1 から 9.0.121 まで。次のバージョンは CVE の作成時には EOS でしたが、影響を受けることが確認されています。8.5.0 から 8.5.100、7.0.43 から 7.0.109。その他のサポートされないバージョンにも影響する可能性があります。ユーザーには、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードをお勧めします。(CVE-2026-76183)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Tomcat installed on the remote host is prior to 10.1.60. It is, therefore, affected by multiple vulnerabilities as referenced in the fixed_in_apache_tomcat_10.1.60_security-10 advisory.

  - CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled     vulnerability in Apache Tomcat. This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.25, from     10.1.22 through 10.1.59, from 9.0.92 through 9.0.121. Users are recommended to upgrade to version 11.0.26,     10.1.60 or 9.0.122, which fix the issue. (CVE-2026-86248)

  - Allocation of resources without limits or throttling vulnerability in Apache Tomcat allows an     unauthenticated AJP request to pin an AJP processing thread leading to denial of service. This issue     affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1     through 9.0.121. The following versions were EOL at the time the CVE was created but are known to be     affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be     affected. Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
    (CVE-2026-78383)

  - Improper Check for Certificate Revocation vulnerability in Apache Tomcat. Both the OpenSSL and OpenSSL-FFM     TLS implementations ignore CRLs when certificate uses a keystore. This issue affects Apache Tomcat: from     11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.58, from 9.0.0-M1 through 9.0.121. The following     versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through     8.5.100. Other unsupported versions may also be affected. Users are recommended to upgrade to version     11.0.26, 10.1.59, 9.0.122, which fixes the issue. (CVE-2026-73581)

  - Improper Authentication vulnerability in Apache Tomcat. When Jakarta Authentication was configured with     SimpleAuthConfigProvider as the default provider and multiple web application used that provider, the     realm for the first web application to authenticate a request would be used for all web applications. This     issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M4     through 9.0.121. The following versions were EOL at the time the CVE was created but are known to be     affected: from 8.5.0 through 8.5.100. Other unsupported versions may also be affected. Users are     recommended to upgrade to version 11.0.26, 10.1.60, 9.0.122, which fixes the issue. (CVE-2026-75973)

  - Authentication Bypass by Alternate Name vulnerability in Apache Tomcat allowed the security constraints     for any WebSocket endpoint to be bypassed. This issue affects Apache Tomcat: from 11.0.0-M1 through     11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1 through 9.0.121. The following versions were EOS at     the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.43 through     7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version     11.0.26, 10.1.60 or 9.0.122, which fix the issue. (CVE-2026-76183)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Tomcat installed on the remote host is prior to 11.0.26. It is, therefore, affected by multiple vulnerabilities as referenced in the fixed_in_apache_tomcat_11.0.26_security-11 advisory.

  - CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled     vulnerability in Apache Tomcat. This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.25, from     10.1.22 through 10.1.59, from 9.0.92 through 9.0.121. Users are recommended to upgrade to version 11.0.26,     10.1.60 or 9.0.122, which fix the issue. (CVE-2026-86248)

  - Allocation of resources without limits or throttling vulnerability in Apache Tomcat allows an     unauthenticated AJP request to pin an AJP processing thread leading to denial of service. This issue     affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1     through 9.0.121. The following versions were EOL at the time the CVE was created but are known to be     affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be     affected. Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
    (CVE-2026-78383)

  - Improper Check for Certificate Revocation vulnerability in Apache Tomcat. Both the OpenSSL and OpenSSL-FFM     TLS implementations ignore CRLs when certificate uses a keystore. This issue affects Apache Tomcat: from     11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.58, from 9.0.0-M1 through 9.0.121. The following     versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through     8.5.100. Other unsupported versions may also be affected. Users are recommended to upgrade to version     11.0.26, 10.1.59, 9.0.122, which fixes the issue. (CVE-2026-73581)

  - Improper Authentication vulnerability in Apache Tomcat. When Jakarta Authentication was configured with     SimpleAuthConfigProvider as the default provider and multiple web application used that provider, the     realm for the first web application to authenticate a request would be used for all web applications. This     issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M4     through 9.0.121. The following versions were EOL at the time the CVE was created but are known to be     affected: from 8.5.0 through 8.5.100. Other unsupported versions may also be affected. Users are     recommended to upgrade to version 11.0.26, 10.1.60, 9.0.122, which fixes the issue. (CVE-2026-75973)

  - Authentication Bypass by Alternate Name vulnerability in Apache Tomcat allowed the security constraints     for any WebSocket endpoint to be bypassed. This issue affects Apache Tomcat: from 11.0.0-M1 through     11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1 through 9.0.121. The following versions were EOS at     the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.43 through     7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version     11.0.26, 10.1.60 or 9.0.122, which fix the issue. (CVE-2026-76183)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Incomplete cleanup vulnerability in Apache Tomcat allows a malformed request to potentially (depends on     timing) cause one request from another user to fail. This issue affects Apache Tomcat: from 11.0.19     through 11.0.25, from 10.1.53 through 10.1.59, from 9.0.116 through 9.0.121. Users are recommended to     upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue. (CVE-2026-78437)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of Tomcat installed on the remote host is prior to 9.0.122. It is, therefore, affected by multiple vulnerabilities as referenced in the fixed_in_apache_tomcat_9.0.122_security-9 advisory.

  - CLIENT_CERT authentication does not fail as expected for some scenarios when soft fail is disabled     vulnerability in Apache Tomcat. This issue affects Apache Tomcat: from 11.0.0-M14 through 11.0.25, from     10.1.22 through 10.1.59, from 9.0.92 through 9.0.121. Users are recommended to upgrade to version 11.0.26,     10.1.60 or 9.0.122, which fix the issue. (CVE-2026-86248)

  - Allocation of resources without limits or throttling vulnerability in Apache Tomcat allows an     unauthenticated AJP request to pin an AJP processing thread leading to denial of service. This issue     affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1     through 9.0.121. The following versions were EOL at the time the CVE was created but are known to be     affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be     affected. Users are recommended to upgrade to version 11.0.26, 10.1.60 or 9.0.122, which fix the issue.
    (CVE-2026-78383)

  - Improper Check for Certificate Revocation vulnerability in Apache Tomcat. Both the OpenSSL and OpenSSL-FFM     TLS implementations ignore CRLs when certificate uses a keystore. This issue affects Apache Tomcat: from     11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.58, from 9.0.0-M1 through 9.0.121. The following     versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through     8.5.100. Other unsupported versions may also be affected. Users are recommended to upgrade to version     11.0.26, 10.1.59, 9.0.122, which fixes the issue. (CVE-2026-73581)

  - Improper Authentication vulnerability in Apache Tomcat. When Jakarta Authentication was configured with     SimpleAuthConfigProvider as the default provider and multiple web application used that provider, the     realm for the first web application to authenticate a request would be used for all web applications. This     issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M4     through 9.0.121. The following versions were EOL at the time the CVE was created but are known to be     affected: from 8.5.0 through 8.5.100. Other unsupported versions may also be affected. Users are     recommended to upgrade to version 11.0.26, 10.1.60, 9.0.122, which fixes the issue. (CVE-2026-75973)

  - Authentication Bypass by Alternate Name vulnerability in Apache Tomcat allowed the security constraints     for any WebSocket endpoint to be bypassed. This issue affects Apache Tomcat: from 11.0.0-M1 through     11.0.25, from 10.1.0-M1 through 10.1.59, from 9.0.0.M1 through 9.0.121. The following versions were EOS at     the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.43 through     7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version     11.0.26, 10.1.60 or 9.0.122, which fix the issue. (CVE-2026-76183)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
349470	Apache Tomcat 10.1.0.M1 < 10.1.60 多个漏洞	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349471	Apache Tomcat 11.0.0.M1 < 11.0.26 多个漏洞	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349470	Apache Tomcat 10.1.0.M1 < 10.1.60 多個弱點	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349471	Apache Tomcat 11.0.0.M1 < 11.0.26 多個弱點	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349598	Linux Distros 未修補弱點：CVE-2026-78437	Nessus	Misc.	2026/9/24	2026/9/27	high
349472	Apache Tomcat 9.0.0.M1 < 9.0.122 多個弱點	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349598	Linux Distros 未修补的漏洞：CVE-2026-78437	Nessus	Misc.	2026/9/24	2026/9/27	high
349472	Apache Tomcat 9.0.0.M1 < 9.0.122 多个漏洞	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349470	Apache Tomcat 10.1.0.M1< 10.1.60の複数の脆弱性	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349471	Apache Tomcat 11.0.0.M1< 11.0.26の複数の脆弱性	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349598	Linux Distros のパッチ未適用の脆弱性: CVE-2026-78437	Nessus	Misc.	2026/9/24	2026/9/27	high
349472	Apache Tomcat 9.0.0.M1< 9.0.122の複数の脆弱性	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349470	Apache Tomcat 10.1.0.M1 < 10.1.60 multiple vulnerabilities	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349471	Apache Tomcat 11.0.0.M1 < 11.0.26 multiple vulnerabilities	Nessus	Web Servers	2026/9/23	2026/9/25	critical
349598	Linux Distros Unpatched Vulnerability : CVE-2026-78437	Nessus	Misc.	2026/9/24	2026/9/27	high
349472	Apache Tomcat 9.0.0.M1 < 9.0.122 multiple vulnerabilities	Nessus	Web Servers	2026/9/23	2026/9/25	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

high

critical

high

critical

critical

critical

high

critical

critical

critical

high

critical