10/20に公開されたApache Tomcatの脆弱性によるHeartCore CMSへの影響はありません
2026年10月20日、Apache Tomcatの開発チームより、Apache Tomcatにおける重要度「Important」の脆弱性3件（CVE-2026-101296、CVE-2026-101356、CVE-2026-103119）が公表されました。なお、これらの脆弱性を修正したTomcatは、すでに2026年10月12日にリリースされています。
本脆弱性によるHeartCore CMSへの影響について、以下のとおりお知らせいたします。
HeartCore CMSへの影響
標準構成のHeartCore CMSでは、3件とも影響はありません。
ただし、お客様が個別に設定を変更されている場合は、影響を受ける可能性があります。該当する設定をご利用の場合は、下記の対応をご検討ください。
① CVE-2026-101296（Important）
内容：JNDIRealmで特定の認証設定をしている場合、正しいパスワードがなくても認証を通過できてしまう可能性があります。
影響：ありません。HeartCore CMSでは、通常JNDIRealmを使用しません。
個別にJNDIRealmを設定している場合：GSSAPI以外のSASL認証方式を使用していると、本脆弱性の影響を受けます。2026年10月12日にリリースされた修正済みバージョンのTomcatへのアップデートをご検討ください。
② CVE-2026-101356（Important）
内容：HTTP/2の非同期処理で、異なるユーザーのリクエストやレスポンスが混在する可能性があります。
影響：ありません。HeartCore CMSでは、AJPでの接続を推奨しています（マニュアルに記載）。AJPで接続している場合、TomcatはHTTP/2での接続を受け付けないため、影響はありません。
AJPではなくHTTPで接続している場合：Tomcatが受け付ける通信をHTTP/1.1にしていれば、影響はありません。
HTTP/2で接続している場合：2026年10月12日にリリースされた修正済みバージョンのTomcatへのアップデートをご検討ください。
③ CVE-2026-103119（Important）
内容：AJP通信でレスポンスが混在し、別のリクエストに情報が漏洩する可能性があります。
影響：ありません。
Tomcat 9／Tomcat 10の場合：本脆弱性の対象外です。
Tomcat 11の場合：本脆弱性の対象はTomcat 11.0.0-M25～11.0.26で、大きなノンブロッキング書き込みを行った際に発生する可能性があります。HeartCore CMSではこのような処理を実装していないため、影響はないと判断しております。
推奨設定：本脆弱性による影響はありませんが、より安全にご運用いただくため、AJPの接続先を以下のとおり限定することを推奨します。
・ApacheとTomcatが同じサーバーの場合：AJPの接続先をlocalhostに限定してください。
・ApacheとTomcatが別のサーバーの場合：AJPの接続先にApacheサーバーのIPアドレスを指定して、限定してください。