Apache Tomcat 釋出緊急更新 11 大弱點同步修補
上週，Apache 基金會正式發布 Tomcat 11.0.25、10.1.59、9.0.121 版，針對 11 項資安漏洞進行修補。此舉旨在防止服務阻斷（DoS）與認證繞過等風險，並確保 Java 應用程式伺服器的整體安全性。
漏洞分級與影響
-
4 個重要（Important）等級：
-
CVE‑2026‑68763
-
CVE‑2026‑68569
-
CVE‑2026‑65927
-
CVE‑2026‑65182
這四項漏洞可能導致 阻斷服務、身分驗證異常，甚至 繞過存取控制，對企業內部系統與對外服務皆構成嚴重威脅。
-
-
1 個中等風險：其餘 6 項則屬低風險，但仍建議盡速升級。
CISA 與 Apache 評分差異
美國 網路安全與基礎設施安全局（CISA） 透過 CISA‑ADP（授權資料發布單位）重新評估後，將 4 個漏洞升為重大（Critical），另 4 個列為高風險（High）。其中：
- 原先被 Apache 標為低風險的 CVE‑2026‑65905、CVE‑2026‑68525，CISA 給予 CVSS（通用漏洞評分系統）9.8、9.1 的高分，屬於 重大 等級。
- 原本屬於重要與中等風險的 CVE‑2026‑65182、CVE‑2026‑65637，也被 CISA 評為 重大，分別為 9.1、9.8。
此差異顯示不同機構在風險評估模型與威脅情境假設上可能存在差距，企業在制定修補策略時，應同時參考多方評分，避免因判斷失誤留下安全缺口。
企業與開發者的因應建議
-
立即升級：將受影響的 Tomcat 版本升至 11.0.25、10.1.59 或 9.0.121，確保所有漏洞皆被封堵。
-
加強測試：在升級前後執行回歸測試，確認應用程式相容性與功能正常。
-
持續監控：訂閱 資安日報、資安週報 等資訊來源，掌握最新漏洞通報與修補建議。
-
風險分層：依照 CISA 的「重大」與「高風險」等級，優先處理影響最廣、可被遠端利用的漏洞。
未來展望
隨著雲端與容器化部署日益普及，Tomcat 作為最常見的 Java Web 容器之一，其安全性將持續受到高度關注。除了定期更新外，業界也在探索 自動化漏洞掃描 與 零信任（Zero Trust） 架構，以降低因單一元件漏洞而導致的全域風險。對於使用 Tomcat 的組織而言，建立 快速修補流程、結合多方風險評估，將是抵禦未來攻擊的關鍵。
結語：本次 11 大漏洞的同步修補顯示資安生態的即時回應能力，但不同機構的評分差異亦提醒企業必須保持警覺，將「重大」與「高風險」漏洞列為優先處理對象，才能在瞬息萬變的威脅環境中維持穩固防線。