Apache Software Foundation пусна Tomcat 11.0.26 за отстраняване на 12 уязвимости в сигурността, засягащи WebSocket, HTTP/2, AJP, автентикация и валидация на TLS сертификати.

Уязвимостите, разкрити на 23 септември 2026 г., включват четири с оценка „Important“ (Важни), три „Moderate“ (Умерени) и пет „Low“ (Ниски), което поставя пред администраторите широка, но спешна задача за инсталиране на корекции за сигурност в Java сървърите за приложения с достъп до интернет.

Повечето съществуващи инсталации на Tomcat 11 са засегнати: много от проблемите засягат версии от 11.0.0-M1 до 11.0.25, докато по-тесни уязвимости започват от 11.0.0-M5, 11.0.0-M14, 11.0.19 или 11.0.22. Apache не предоставя отделни корекции за сигурност за индивидуални уязвимости и съветва потребителите да инсталират версия, съдържаща поправките, което прави 11.0.26 практическата основа за отстраняване на риска.

Основната уязвимост във WebSocket, CVE-2026-87022, произтича от неправилно обработване на параметър за дължина, когато е разрешено сгъстяването per-message-deflate. Атакуващ би могъл да се възползва от несъответствието, за да контрабандира WebSocket съобщения; всички версии от 11.0.0-M1 до 11.0.25 са засегнати, а commit 4fef25fe осигурява корекцията.

Проблем с по-висок приоритет в HTTP/2, CVE-2026-86350, е регресия, въведена при коригиране на CVE-2026-41293. Непоследователната интерпретация на заявките може да доведе до неправилно асоцииране на хедъри, създавайки объркване на заглавните части на заявките във версии от 11.0.22 до 11.0.25.

Свързани дефекти в HTTP/2 включват CVE-2026-78437, където невалидна заявка може да причини грешка в заявката на друг потребител, и CVE-2026-77762 — състояние на състезание (race condition), което може да инжектира полета за трейлъри в повторно използвана заявка от пула.

Рисковете за достъпността са отчетливи. CVE-2026-78383 може да блокира нишка за обработка на AJP, когато липсва тяло на заявката, докато CVE-2026-77791 позволява отказ от обслужване чрез натоварено чакане (busy wait) при изпращане на WebSocket съобщение за затваряне. CVE-2026-79677 може да загуби асинхронни тайм-аути за запис във WebSocket поради грешка в паралелността, позволявайки на операциите да консумират ресурси за неограничено време.

Обновяването затваря и CVE-2026-76183 — важно заобикаляне на оторизацията във WebSocket, причинено от анализиране на пътища на заявките като шаблони на крайни точки. CVE-2026-75973 би могло да използва повторно областта (realm) на първото приложение в множество приложения, използващи SimpleAuthConfigProvider по подразбиране на Jakarta Authentication, докато CVE-2026-77756 би могло да наруши заявката на друг потребител чрез зачитане на Transfer-Encoding в HTTP/1.0 трафик зад обратен прокси сървър.

Проверката на сертификати получава две съществени поправки. CVE-2026-86248 адресира непълна по-ранна корекция за OCSP, която би могла да позволи автентикацията с CLIENT_CERT да успее, когато soft-fail е изключен при FFM реализацията. CVE-2026-73581 коригира поведението на OpenSSL и OpenSSL-FFM, което пренебрегваше списъците с отменени сертификати (CRL), когато сертификатите бяха съхранявани в keystore.

Администраторите трябва да инвентаризират всеки екземпляр на Tomcat 11, да дадат приоритет на външно достъпните WebSocket, HTTP/2 и AJP конектори и да актуализират до 11.0.26 след тестване на съвместимостта на приложенията.

Те трябва също да потвърдят изтеглените артефакти, използвайки OpenPGP подписите или SHA-512 контролните суми на Apache, да прегледат конфигурациите на обратния прокси сървър и автентикацията, и да следят за необичайно изчерпване на връзките, аномалии в заглавните части между заявките или грешки при оторизацията.

Тъй като няколко грешки включват състезания за ресурси и споделено състояние на връзката, успешното им експлоатиране може да бъде периодично, което прави контролираното тестване за регресия и продължителната телеметрия особено важни след спешното внедряване в клъстерите. Рестартирайте и потвърдете работещата версия след инсталирането; временните решения само на ниво конфигурация не осигуряват еквивалентно покритие за този многокомпонентен пакет от корекции за сигурност.