Apache Tomcat heeft acht kwetsbaarheden, waaronder drie met hoge prioriteit

white surveillance camera hanging on wall — Alan J. Hendry / Unsplash

De Apache Software Foundation heeft op 20 oktober 2026 acht kwetsbaarheden bekendgemaakt voor de webapplicatieserver Apache Tomcat. De organisatie heeft drie van deze kwetsbaarheden als belangrijk ingeschaald en de overige vijf als laag. Sommige beveiligingsinstanties hebben bepaalde kwetsbaarheden als kritiek beoordeeld.

Een van de kwetsbaarheden met hoge prioriteit, geïdentificeerd als CVE-2026-101296, zit in de gebruikersauthenticatie. In configuraties die een specifieke authenticatiemethode gebruiken, is het mogelijk dat een gebruiker de authenticatie kan doorlopen zonder het juiste wachtwoord te verstrekken.

Een tweede kwetsbaarheid met hoge prioriteit, CVE-2026-101356, betreft asynchrone verwerking via HTTP/2. Er bestaat het risico dat verzoeken en responsen van verschillende gebruikers met elkaar worden verward tijdens de verwerking.

De derde kwetsbaarheid met hoge prioriteit, CVE-2026-103119, beïnvloedt de 11.0-tak van de software. Deze kwetsbaarheid zit in de communicatiemethode AJP. Wanneer grote hoeveelheden responsdata niet-blokkerend worden geschreven, kan een deel van de responsdata van een eerdere aanvraag zich mengen in de respons voor een volgende aanvraag. Dit kan leiden tot verwerkingsfouten of een lek van informatie.