Apache Tomcat und Tomcat Native: Mehrere Schwachstellen
WID-SEC-2026-1038 · primera publicación 10.04.2026 · actualizado 08.10.2026 · CVSS 7,3
De qué se trata
Apache Tomcat ist ein Web-Applikationsserver für verschiedene Plattformen. Ein Angreifer kann mehrere Schwachstellen in Apache Tomcat ausnutzen, um Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen, Open-Redirect-Angriffe durchzuführen und andere, nicht näher spezifizierte Angriffe auszuführen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Sicherheitsmaßnahmen zu umgehen
- Daten zu manipulieren
- vertrauliche Informationen offenzulegen
- Open-Redirect-Angriffe durchzuführen, andere, nicht näher spezifizierte Angriffe auszuführen
¿Me afecta?
Afectados según el BSI:
- Debian Linux
- Amazon Linux 2
- IBM Power Hardware Management Console
- Red Hat Enterprise Linux
- SUSE Linux
- Oracle Linux
- IBM QRadar SIEM
- SUSE openSUSE
- IBM Spectrum Protect Plus
- Apache Tomcat <11.0.20
- Apache Tomcat <10.1.52
- Apache Tomcat <9.0.116
y 10 más
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Apache Tomcat 11.0.20
- Apache Tomcat 10.1.52
- Apache Tomcat 9.0.116
- Apache Tomcat 10.1.53
- Apache Tomcat Native 1.3.7
- Apache Tomcat Native 2.0.14
- Apache Tomcat 11.0.19
- Apache Tomcat 11.0.21
- Apache Tomcat 10.1.54
- Apache Tomcat 9.0.117
- Red Hat JBoss Web Server 6.2.3
¿Se está explotando ya la vulnerabilidad?
- CVE-2026-34486: explotada en la práctica según la CISA, en el catálogo desde el 04.08.2026.
Información y fuentes
- Aviso original del BSI (WID)
- Oracle Linux Security Advisory ELSA-2026-18916 vom 2026-06-29 linux.oracle.com
- Apache Tomcat 9 vulnerabilities vom 2026-04-09 tomcat.apache.org
- Apache Tomcat 10 vulnerabilities vom 2026-04-09 tomcat.apache.org
- Apache Tomcat 11 vulnerabilities vom 2026-04-09 tomcat.apache.org
- openSUSE Security Update OPENSUSE-SU-2026:10548-1 vom 2026-04-15 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:10549-1 vom 2026-04-15 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:10547-1 vom 2026-04-15 lists.opensuse.org
- SUSE Security Update SUSE-SU-2026:1558-1 vom 2026-04-23 lists.suse.com
- openSUSE Security Update OPENSUSE-SU-2026:20612-1 vom 2026-04-23 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:20611-1 vom 2026-04-23 lists.opensuse.org
- SUSE Security Update SUSE-SU-2026:1572-1 vom 2026-04-23 lists.suse.com
- SUSE Security Update SUSE-SU-2026:1603-1 vom 2026-04-24 lists.suse.com
- SUSE Security Update SUSE-SU-2026:1604-1 vom 2026-04-24 lists.suse.com
- SUSE Security Update SUSE-SU-2026:21378-1 vom 2026-04-28 lists.suse.com
- SUSE Security Update SUSE-SU-2026:21379-1 vom 2026-04-28 lists.suse.com
- SUSE Security Update SUSE-SU-2026:21366-1 vom 2026-04-28 lists.suse.com
- Amazon Linux Security Advisory ALAS2TOMCAT9-2026-025 vom 2026-04-30 alas.aws.amazon.com
- Red Hat Security Advisory RHSA-2026:12195 vom 2026-04-30 access.redhat.com
- Red Hat Security Advisory RHSA-2026:12194 vom 2026-04-30 access.redhat.com
- HCL Security Bulletin vom 2026-05-12 support.hcl-software.com
- IBM Security Bulletin 7278738 vom 2026-07-01 www.ibm.com
- Red Hat Security Advisory RHSA-2026:20405 vom 2026-05-26 access.redhat.com
- Red Hat Security Advisory RHSA-2026:20406 vom 2026-05-26 access.redhat.com
- PoC CVE-2026-34486 vom 2026-05-28 github.com
- Debian Security Advisory DLA-4619 vom 2026-06-07 lists.debian.org
y 47 fuentes más en el aviso original
CVE: CVE-2026-24880, CVE-2026-25854, CVE-2026-29129, CVE-2026-29145, CVE-2026-29146, CVE-2026-32990, CVE-2026-34483, CVE-2026-34486, CVE-2026-34487, CVE-2026-34500
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.