Apache Tomcat und Tomcat Native: Mehrere Schwachstellen
WID-SEC-2026-1038 · première publication 10.04.2026 · mise à jour 08.10.2026 · CVSS 7,3
De quoi il s’agit
Apache Tomcat ist ein Web-Applikationsserver für verschiedene Plattformen. Ein Angreifer kann mehrere Schwachstellen in Apache Tomcat ausnutzen, um Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen, Open-Redirect-Angriffe durchzuführen und andere, nicht näher spezifizierte Angriffe auszuführen.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Sicherheitsmaßnahmen zu umgehen
- Daten zu manipulieren
- vertrauliche Informationen offenzulegen
- Open-Redirect-Angriffe durchzuführen, andere, nicht näher spezifizierte Angriffe auszuführen
Suis-je concerné ?
Concernés selon le BSI :
- Debian Linux
- Amazon Linux 2
- IBM Power Hardware Management Console
- Red Hat Enterprise Linux
- SUSE Linux
- Oracle Linux
- IBM QRadar SIEM
- SUSE openSUSE
- IBM Spectrum Protect Plus
- Apache Tomcat <11.0.20
- Apache Tomcat <10.1.52
- Apache Tomcat <9.0.116
et 10 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Apache Tomcat 11.0.20
- Apache Tomcat 10.1.52
- Apache Tomcat 9.0.116
- Apache Tomcat 10.1.53
- Apache Tomcat Native 1.3.7
- Apache Tomcat Native 2.0.14
- Apache Tomcat 11.0.19
- Apache Tomcat 11.0.21
- Apache Tomcat 10.1.54
- Apache Tomcat 9.0.117
- Red Hat JBoss Web Server 6.2.3
La faille est-elle déjà exploitée ?
- CVE-2026-34486: exploitée dans la nature selon la CISA, au catalogue depuis le 04.08.2026.
Informations et sources
- Avis original du BSI (WID)
- Oracle Linux Security Advisory ELSA-2026-18916 vom 2026-06-29 linux.oracle.com
- Apache Tomcat 9 vulnerabilities vom 2026-04-09 tomcat.apache.org
- Apache Tomcat 10 vulnerabilities vom 2026-04-09 tomcat.apache.org
- Apache Tomcat 11 vulnerabilities vom 2026-04-09 tomcat.apache.org
- openSUSE Security Update OPENSUSE-SU-2026:10548-1 vom 2026-04-15 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:10549-1 vom 2026-04-15 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:10547-1 vom 2026-04-15 lists.opensuse.org
- SUSE Security Update SUSE-SU-2026:1558-1 vom 2026-04-23 lists.suse.com
- openSUSE Security Update OPENSUSE-SU-2026:20612-1 vom 2026-04-23 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:20611-1 vom 2026-04-23 lists.opensuse.org
- SUSE Security Update SUSE-SU-2026:1572-1 vom 2026-04-23 lists.suse.com
- SUSE Security Update SUSE-SU-2026:1603-1 vom 2026-04-24 lists.suse.com
- SUSE Security Update SUSE-SU-2026:1604-1 vom 2026-04-24 lists.suse.com
- SUSE Security Update SUSE-SU-2026:21378-1 vom 2026-04-28 lists.suse.com
- SUSE Security Update SUSE-SU-2026:21379-1 vom 2026-04-28 lists.suse.com
- SUSE Security Update SUSE-SU-2026:21366-1 vom 2026-04-28 lists.suse.com
- Amazon Linux Security Advisory ALAS2TOMCAT9-2026-025 vom 2026-04-30 alas.aws.amazon.com
- Red Hat Security Advisory RHSA-2026:12195 vom 2026-04-30 access.redhat.com
- Red Hat Security Advisory RHSA-2026:12194 vom 2026-04-30 access.redhat.com
- HCL Security Bulletin vom 2026-05-12 support.hcl-software.com
- IBM Security Bulletin 7278738 vom 2026-07-01 www.ibm.com
- Red Hat Security Advisory RHSA-2026:20405 vom 2026-05-26 access.redhat.com
- Red Hat Security Advisory RHSA-2026:20406 vom 2026-05-26 access.redhat.com
- PoC CVE-2026-34486 vom 2026-05-28 github.com
- Debian Security Advisory DLA-4619 vom 2026-06-07 lists.debian.org
et 47 autres sources dans l’avis original
CVE: CVE-2026-24880, CVE-2026-25854, CVE-2026-29129, CVE-2026-29145, CVE-2026-29146, CVE-2026-32990, CVE-2026-34483, CVE-2026-34486, CVE-2026-34487, CVE-2026-34500
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.