核心要点速览
- 漏洞共8个，影响范围横跨v9、v10、v11三个系列；窗之杜的报道标题直接写明三个系列均已提供修正版，可以直接升级而非只能临时规避。
- 严重程度有两套口径：ASF自己的评级与CVSS:3.1/4.0评分并不一致，按CVSS计算最高的一项为9.1分，属于CRITICAL（严重）级别。
- 窗之杜官方账号（@madonomori）的X帖文录得636,252次浏览、3,827个点赞、3,002次转发和750次收藏，常被运维人员转给团队作为升级提醒。
- 目前能确认的只有漏洞总数、受影响系列和最高分，各漏洞的CVE编号、成因和具体修正版本号，需要在窗之杜报道或ASF公告中逐项核对。
ASF公布8个漏洞，窗之杜X帖文超63万浏览
Apache软件基金会（ASF）在10月20日公布，广泛用作Java Servlet容器的Apache Tomcat存在共计8个漏洞，影响v9、v10、v11三个系列。各漏洞的严重程度在ASF评级与CVSS:3.1或4.0之间存在差异，但按CVSS计算，其中包含最高9.1分、评级为CRITICAL的漏洞。日本老牌软件资讯站窗之杜随即以“v9／v10／v11系列推出修正版”为题进行了报道。
窗之杜官方账号（@madonomori）在X上发布这条新闻后，帖文获得636,252次浏览、3,827个点赞、3,002次转发和750次收藏。帖文同时给出了“最高严重程度CRITICAL”和v9/v10/v11这两个具体信息，服务器运维人员和开发者能立刻判断自己的环境是否在影响范围内，提醒与转发因此同步扩散。
报道原文地址为 https://forest.watch.impress.co.jp/docs/news/2150161.html ，标题与正文都明确写出Tomcat存在最高严重程度CRITICAL的漏洞，以及v9/v10/v11三个系列均已提供修正版。需要注意的是，目前能确认的只有漏洞总数和最高分，CVE编号与受影响的具体小版本尚未逐条核实。
出处[1]
三条版本线全部中招，评分口径不一但最高9.1
这次的8个漏洞覆盖Tomcat的v9、v10、v11三个系列。处理顺序并不复杂：先确认自己运行的Tomcat属于哪个系列，若在范围内，就升级到ASF发布的对应修正版。窗之杜的标题已经说明三个系列都有修正版，不论用的是哪条版本线，都能走正常升级路径。
同一个漏洞，ASF给出的严重程度与CVSS:3.1或4.0的评分可能不同，阅读通告时不要只盯着一个数字。由于其中有按CVSS评为9.1分（CRITICAL）的项目，整体应按最高等级对待。与其逐条研究8个漏洞的细节，更现实的做法是先判断是否属于受影响系列，再把套用修正版放在第一位。
出处[1]
升级步骤：确认版本、备份配置、测试后再上线
第一步是准确掌握正在运行的Tomcat版本号。属于v9、v10、v11任一系列时，优先安排升级到修正版。升级前先备份配置文件和已部署的Web应用，在测试环境确认运行正常后再推到生产环境。考虑到这次一共有8个漏洞，只做局部缓解并不稳妥，应以套用修正版为主线。
升级完成后，要确认版本号确实已变为修正版，并留下记录。窗之杜这条X帖文有3,002次转发和750次收藏，本身就适合直接拿来做团队内部通知；转达时附上窗之杜报道链接，比口头转述更不容易漏掉受影响的服务器。
出处[1]
X（推特）首发原帖
可在 X 上直接查看创作者发布的原帖与互动详情。
常见问题
哪些版本的Apache Tomcat受这次漏洞影响？
受影响的是v9、v10、v11三个系列，共8个漏洞，三个系列都已发布修正版。各系列受影响的具体小版本和修正版版本号尚未逐一核实，请以窗之杜报道或ASF公告为准，确认自己的版本后尽快升级。
出处[1]
为什么ASF评级和CVSS分数不一样？
ASF有自己的严重程度评级，CVSS:3.1/4.0是另一套通用评分体系，计算方式不同，同一漏洞可能得出不同等级。这次按CVSS计算的最高分为9.1，属于CRITICAL，因此无论参考哪套口径，都建议按最高风险优先处理。
出处[1]
消息是谁发布的？日文报道在哪里看？
漏洞由Apache软件基金会（ASF）公布；日文报道来自窗之杜，其X官方账号@madonomori同时发布了附带文章链接的帖文。报道地址：https://forest.watch.impress.co.jp/docs/news/2150161.html 。
出处[1]
参考链接与官方出处
- Apache Tomcat 脆弱性 公開ページforest.watch.impress.co.jp
- Apache Tomcat 脆弱性 関連ソース (1)x.com
