La Apache Software Foundation ha revelado dos vulnerabilidades que afectan a Apache Tomcat y que podrían permitir a los atacantes evadir la autenticación y las restricciones de seguridad que protegen las aplicaciones web.

Los fallos, identificados como CVE-2026-55957 y CVE-2026-55956, afectan a múltiples versiones principales del contenedor de servlets, ampliamente desplegado, lo que motiva recomendaciones de actualización urgentes en entornos empresariales.

CVE-2026-55957: Omisión de autenticación de JNDIRealm

Calificada con una severidad Importante, esta vulnerabilidad afecta al componente JNDIRealm de Tomcat cuando se configura con vinculación autenticada GSSAPI. El fallo se debe a que las restricciones de seguridad en el servlet predeterminado no se aplicaron correctamente, haciendo que los métodos HTTP configurados o las omisiones de métodos dentro de las reglas de acceso fueran ignorados silenciosamente.

Este comportamiento permitió efectivamente que los atacantes evadieran las restricciones de acceso previstas y llegaran a recursos protegidos sin la autenticación adecuada.

Versiones afectadas:

• Apache Tomcat 11.0.0-M1 hasta 11.0.4
• Apache Tomcat 10.1.0-M1 hasta 10.1.36
• Apache Tomcat 9.0.0.M1 hasta 9.0.100
• Las ramas antiguas y sin soporte también podrían ser vulnerables

Actualiza a Tomcat 11.0.5, 10.1.37, 9.0.101 o versiones posteriores. El problema fue divulgado responsablemente por el investigador de seguridad Ilan Toyter.

CVE-2026-5596: Omisión de restricciones del servlet predeterminado

El segundo fallo, calificado como Moderado, comparte la misma causa raíz: las restricciones de seguridad definidas para el servlet predeterminado no aplicaron correctamente los métodos HTTP configurados o las omisiones de métodos. Aunque es menos grave que el CVE-2026-55957, este problema afecta a una gama más amplia de versiones de Tomcat, lo que indica que el defecto persistió a través de varios ciclos de lanzamiento antes de ser detectado.

Versiones afectadas:

• Apache Tomcat 11.0.0-M1 hasta 11.0.22
• Apache Tomcat 10.1.0-M1 hasta 10.1.55
• Apache Tomcat 9.0.0.M1 hasta 9.0.118
• Las ramas antiguas y sin soporte también podrían ser vulnerables

Solución: Actualiza a Tomcat 11.0.23, 10.1.56, 9.0.119 o versiones posteriores.

Ambas vulnerabilidades se centran en cómo Tomcat gestiona las definiciones de <security-constraint> aplicadas al servlet predeterminado. Cuando configuras la control de acceso para métodos HTTP específicos (por ejemplo, restringiendo PUT o DELETE mientras permites GET), la lógica de coincidencia de solicitudes de Tomcat no respetó consistentemente esas restricciones a nivel de método.

En la práctica, esto significaba que los endpoints que se suponía estaban protegidos por reglas basadas en métodos seguían siendo accesibles a través de verbos no restringidos, creando una vía para el acceso no autorizado a recursos sensibles o funciones administrativas.

Si gestionas instancias de Tomcat afectadas, debes priorizar el parcheo, especialmente donde el servlet predeterminado maneje contenido sensible o donde se utilice JNDIRealm con vinculación GSSAPI para la autenticación respaldada por LDAP.

Dado que la Apache Software Foundation no enumera soluciones alternativas más allá de actualizar, aplicar las versiones parcheadas es la única mitigación fiable. También deberías auditar las restricciones de seguridad existentes en el archivo web.xml después de la actualización para confirmar que los controles de acceso previstos ahora funcionen según lo diseñado.