2026-10-15 更正:本文写于 2026-08-06,文中的数字是当天的快照,下面几处已经过时:
- 官方安全页上 2026 年的条目从 29 条增加到 51 条(8 月、9 月又各公布了一批)。
- 官方评级和 GitHub 评级相差 2 级以上的,从 17 条变成 23 条;另有 9 条 GitHub 还没评级。
- 9.0.118 已经不是「升到位」的版本。 9 月公布的
CVE-2026-86350(官方 Important,仅在启用 HTTP/2 时成立)是修CVE-2026-41293时带进来的回归,影响 9.0.118–9.0.121 / 10.1.55–10.1.59 / 11.0.22–11.0.25。用 tomcat-check v0.2.0 实扫 9.0.118 的tomcat-embed-core+tomcat-embed-websocket:命中 25 条,其中 22 条按机制进不了 Dependabot 告警;只扫tomcat-embed-core是命中 20 条、17 条进不了。- 三条版本线现在的修复版是 9.0.122 / 10.1.60 / 11.0.26,Maven Central 上都能下载到。
文中讲的两种「进不了告警」的机制、怎么查真实版本、怎么看两套评级,这些结论没有变。8 月、9 月这两批的逐条分析见新文:为了修 CVE-2026-41293 升的 Tomcat,自己带了一条 Important
我升级了 Spring Boot,Dependabot 面板全绿,以为没事了。
然后我扫了一下自己的 fat jar:
构件:tomcat-embed-core 版本:9.0.118
── 🔴 你的 Dependabot 大概率不会告警的条目:4 条 ──
CVE-2026-55276 ASF 官方 Low │ GitHub critical (CVSS 9.1)
触发条件:默认配置即受影响
CVE-2026-59083 ASF 官方 Low │ GitHub critical (CVSS 9.1)
CVE-2026-53404 ASF 官方 Low │ GitHub high (7.3)
CVE-2026-55956 ASF 官方 Moderate │ GitHub medium (6.5)
命中 4 条,其中 4 条你的 Dependabot 大概率不会告警
9.0.118 是 2026 年 5 月那批 CVE 的官方修复版 —— 写这篇时(2026-08-06),它就是「已经升到位」的状态。现在不是了:它自己落在后来公布的回归 CVE-2026-86350 的影响区间里,见文首更正。
一、先说清楚:这不是谁的锅
有两种机制会让一条 CVE 进不了你的告警面板,两种都不是失职。
机制 A:advisory 还是 unreviewed
GitHub 的 advisory 有两种状态。reviewed 是人工确认过受影响包范围的,unreviewed 是从 NVD 自动导入、还没人工确认的。Dependabot 只用 reviewed 的做告警。
$ gh api /advisories?cve_id=CVE-2026-59083
type: unreviewed severity: critical vulnerabilities: []
严重性给到 critical,受影响包列表是空的。没有包就没有匹配对象,自然不会告警 —— 对所有人都不会,不只是你。
这是正常流程,不是隐瞒。人工审核需要时间,这批六月底公布的条目还排在队列里。
机制 B:坐标对不上
Spring Boot 的依赖树里只有这三个坐标:
org.apache.tomcat.embed:tomcat-embed-core
org.apache.tomcat.embed:tomcat-embed-el
org.apache.tomcat.embed:tomcat-embed-websocket
而有些 advisory 挂的是 org.apache.tomcat:tomcat-coyote、org.apache.tomcat:tomcat —— 独立安装用的坐标。Dependabot 按坐标匹配,匹配不上就不报。
二、那这些代码到底在不在我的 jar 里
这一步不能靠推测,得下真 jar 数。
tomcat-embed-core-9.0.118.jar 1745 个条目
org/apache/catalina/valves/rewrite/RewriteValve.class 有 ← CVE-2026-59083 / 53404
org/apache/catalina/startup/ContextConfig.class 有 ← CVE-2026-55276
org/apache/catalina/realm/JNDIRealm.class 有 ← CVE-2026-55957
org/apache/catalina/servlets/DefaultServlet.class 有 ← CVE-2026-55956
在。
但反过来也必须验,不然就成了吓唬人。同一批里,这些是真的不在内嵌版里的:
| CVE | 代码实际在哪 |
|---|---|
| 59084 / 55955 / 29146 / 34486(EncryptInterceptor) | tomcat-tribes.jar,内嵌版不含 |
| 34487(CloudMembershipService) | tomcat-tribes.jar |
| 53434 / 34500(FFM 连接器) | tomcat-coyote-ffm,三条线的 embed-core 里都没有 |
| 50229 / 66299 | 示例应用 webapps/examples |
截至 2026-08-06,2026 年 Tomcat 一共 29 条 CVE。「进不了告警」的有 16 条,扣掉本来就不在内嵌版里的 9 条,对 Spring Boot 用户真正成立的是 7 条。
三、最该看的是这一条
CVE-2026-55957 ASF 官方 Important GitHub high 7.3 unreviewed
Authentication bypass with JNDIRealm and GSSAPI authentication
官方自己评的是 Important。
这条不需要任何「两套评级谁更准」的辩论 —— 官方和 GitHub 都认为它不轻,而它进不了告警面板。
触发条件:仅当你用 JNDIRealm + GSSAPI 认证。用不到就真的不受影响。
四、顺带说说那个让人半夜爬起来的评级差
截至 2026-08-06,29 条里有 17 条,官方评级和 GitHub 评级差 2 级以上(10-15 更新:51 条里有 23 条,另有 9 条 GitHub 还没评级)。最极端的一条:
CVE-2026-41293 ASF 官方 Low → GitHub critical CVSS 9.8
不是谁报错了,是两套体系测的不是同一个东西:
| ASF / Tomcat 官方 | GitHub / NVD | |
|---|---|---|
| 分级 | Low / Moderate / Important / Critical | CVSS 数值 |
| 依据 | 默认配置下的实际可利用性 | 向量机械计算,不看你开没开那个功能 |
| 在哪看 | tomcat.apache.org/security-9.html | Dependabot 直接推给你 |
而真正决定「要不要现在升」的,是两套评级里都没有的第三样东西 —— 触发条件。
比如官方对 CVE-2026-66299 的原话:
Users who followed the security guidance to remove the examples web application are not affected.
这句话不在任何评级里,但它才是那句该看的。
五、做成了个工具
零依赖单 jar,离线跑,需要 Java 17+:
java -jar tomcat-check.jar target/my-app.jar # Spring Boot fat jar
java -jar tomcat-check.jar /opt/tomcat # 独立安装
java -jar tomcat-check.jar --all --utf8 target/lib
对每条命中给出:两套评级 + 触发条件 + 官方描述原文 + 这条会不会进你的 Dependabot 告警,最后给一个能覆盖全部命中条目的升级目标。
判定表从官方 security 页面和 GitHub Advisory API 两个一手源生成,一行不手抄,带 7 条断言,任一不满足就中止不生成文件。其中一条断言是用第二个独立口径把条目再数一遍 —— 开发时真的靠它抓到过一次条目错配。
最后,请这样读它的输出
- 「命中」= 你的版本落在官方 Affects 区间内,不等于「已被利用」,更不等于「必然可利用」。2026 年这些条目里只有少数是默认配置即暴露,其余需要你显式开启某个功能(RewriteValve、DIGEST 认证、AJP、WebDAV、集群通信)。
- 「不会告警」不是说 GitHub 失职,
unreviewed是正常流程状态。 - 判定表只覆盖 2026 年公布的 CVE,没命中不等于你的版本没问题。
工具不替你决定要不要升级。它只给你做这个决定需要的三样东西:你装的是哪个版本、官方怎么评、触发条件是什么。
