CISAの「Vulnrichment」プロセスにより、Apache Tomcatの2つの脆弱性（CVE-2026-53434、CVE-2026-55276）に高いCVSSスコアが割り当てられた。 Apacheの開発者は、悪用条件の限定性やログ出力のみの影響を理由に、これらを「低」リスクと評価している。 この出来事は、CISAの独断的なスコアリング手法に対する批判を浮き彫りにしている。