O Apache Tomcat identificou e corrigiu oito falhas de segurança, incluindo o CVE-2026-101296, que permite o bypass de autenticação em configurações específicas do JNDIRealm. Essa vulnerabilidade resulta de uma validação ausente, permitindo que atacantes se autentiquem sem fornecer a senha correta. As versões afetadas vão da 11.0.0-M1 até a 11.0.26, da 10.1.0-M1 até a 10.1.60, e da 9.0.0-M1 até a 9.0.122.
Além disso, o CVE-2026-101356 apresenta problemas na reciclagem de objetos internos durante o processamento assíncrono do HTTP/2, resultando em mistura de requisições entre usuários. Este problema afeta as versões de 11.0.22 a 11.0.26, 10.1.55 a 10.1.60 e 9.0.118 a 9.0.122. O CVE-2026-103119, por sua vez, diz respeito ao manuseio de respostas AJP, onde uma leitura de buffer incorreta pode causar a falha de requisições subsequentes e possível vazamento de dados.
As vulnerabilidades foram divulgadas em 20 de outubro de 2026, e não há informações sobre exploração ativa até o momento. A Apache recomenda que administradores atualizem suas implementações para as versões corrigidas: 11.0.27, 10.1.61 e 9.0.123, e que verifiquem as configurações de autenticação e isolamento de respostas para mitigar riscos.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews