Huit vulnérabilités détectées dans Apache Tomcat

two bullet surveillance cameras attached on wall — Scott Webb / Unsplash

Le serveur d'applications web « Apache Tomcat » a révélé plusieurs vulnérabilités. Certaines de ces vulnérabilités ont été évaluées comme « critiques » par des organismes de sécurité.

La fondation Apache Software Foundation a annoncé, le 20 octobre 2026, la publication de huit vulnérabilités basées sur le système CVE. L'équipe de développement a classé trois de ces vulnérabilités comme « importantes » et les cinq restantes comme « faibles ».

Concernant les vulnérabilités classées comme « importantes », la « CVE-2026-101296 » concerne une faille dans la fonctionnalité d'authentification. Il existe un risque que les utilisateurs puissent passer l'authentification sans fournir le bon mot de passe dans une configuration utilisant certains modes d'authentification.

La « CVE-2026-101356 » traite d'un problème lié au traitement asynchrone via « HTTP/2 ». Il y a un risque de mélange entre les requêtes et les réponses de différents utilisateurs pendant le traitement.

La dernière vulnérabilité jugée « importante », la « CVE-2026-103119 », affecte la branche « 11.0 ». Dans le protocole de communication « AJP » utilisé pour communiquer avec le serveur web, il existe un risque que des parties de données de réponse de requêtes précédentes s'infiltrent dans la réponse de la requête suivante, ce qui pourrait entraîner des échecs de traitement ou des fuites d'informations.