La Apache Software Foundation ha lanzado la versión Tomcat 11.0.26 para corregir 12 vulnerabilidades de seguridad que afectan a WebSocket, HTTP/2, AJP, autenticación y la validación de certificados TLS. Estas fallas, reveladas el 23 de septiembre de 2026, se clasifican en cuatro importantes, tres moderadas y cinco bajas, lo que hace urgente que los administradores de servidores de aplicaciones Java apliquen los parches correspondientes.

La Apache Software Foundation ha lanzado Tomcat 11.0.26 para solucionar 12 vulnerabilidades de seguridad que afectan a WebSocket, HTTP/2, AJP, autenticación y validación de certificados TLS.

Los fallos, revelados el 23 de septiembre de 2026, incluyen cuatro calificados como Importantes, tres Moderados y cinco Bajos, lo que te asigna a ti, como administrador, una tarea de parcheo amplia pero urgente en todos los servidores de aplicaciones Java expuestos a internet.

La mayoría de las implementaciones actuales de Tomcat 11 están expuestas: muchos problemas afectan a las versiones desde la 11.0.0-M1 hasta la 11.0.25, mientras que fallos más específicos comienzan en la 11.0.0-M5, 11.0.0-M14, 11.0.19 o 11.0.22. Apache no proporciona parches binarios para vulnerabilidades individuales y te aconseja que instales una versión que contenga las correcciones, convirtiendo a la 11.0.26 en la base práctica de remediación.

El fallo principal de WebSocket, CVE-2026-87022, surge de un manejo inadecuado de un parámetro de longitud cuando la compresión per-message-deflate está habilitada. Un atacante podría explotar esta discrepancia para contrabandear mensajes de WebSocket; todas las versiones desde la 11.0.0-M1 hasta la 11.0.25 están afectadas, y el commit 4fef25fe proporciona la corrección.

Un problema de HTTP/2 de mayor prioridad, CVE-2026-86350, es una regresión introducida mientras se solucionaba la CVE-2026-41293. Una interpretación inconsistente de las solicitudes puede causar que las cabeceras se asocien incorrectamente, creando una confusión de cabeceras de solicitud en las versiones 11.0.22 a 11.0.25.

Otros defectos relacionados con HTTP/2 incluyen CVE-2026-78437, donde una solicitud malformada puede hacer que falle la solicitud de otro usuario, y CVE-2026-77762, una condición de carrera que puede inyectar campos de tráiler en una solicitud almacenada en el pool y reciclada.

Los riesgos de disponibilidad son prominentes. CVE-2026-78383 puede bloquear un hilo de procesamiento AJP cuando falta el cuerpo de una solicitud, mientras que CVE-2026-77791 permite la denegación de servicio a través de una espera activa al enviar un mensaje de cierre de WebSocket. CVE-2026-79677 puede provocar la pérdida de tiempos de espera de escritura asíncronos de WebSocket debido a un error de concurrencia, permitiendo que las operaciones consuman recursos indefinidamente.

La actualización también cierra CVE-2026-76183, una omisión de autorización de WebSocket Importante causada por el análisis de rutas de solicitud como plantillas de endpoint. CVE-2026-75973 podría reutilizar el reino (realm) de la primera aplicación en múltiples aplicaciones usando el SimpleAuthConfigProvider predeterminado de Jakarta Authentication, mientras que CVE-2026-77756 podría interrumpir la solicitud de otro usuario al respetar Transfer-Encoding en el tráfico HTTP/1.0 detrás de un proxy inverso.

La comprobación de certificados recibe dos reparaciones notables. CVE-2026-86248 aborda una corrección de OCSP anterior incompleta que podría permitir que la autenticación CLIENT_CERT tuviera éxito cuando el soft-fail estaba desactivado bajo la implementación FFM. CVE-2026-73581 corrige el comportamiento de OpenSSL y OpenSSL-FFM que ignoraba las listas de revocación de certificados cuando estos se almacenaban en un almacén de claves (keystore).

Debes hacer un inventario de cada instancia de Tomcat 11, priorizar los conectores de WebSocket, HTTP/2 y AJP accesibles externamente, y actualizar a la versión 11.0.26 después de probar la compatibilidad de tu aplicación.

También deberías verificar los artefactos descargados utilizando las firmas OpenPGP de Apache o las sumas de comprobación SHA-512, revisar las configuraciones de proxy inverso y autenticación, y monitorizar cualquier agotamiento inusual de conexiones, anomalías en las cabeceras entre solicitudes o fallos de autorización.

Debido a que varios errores implican condiciones de carrera y estados de conexión compartidos, la explotación exitosa puede ser intermitente, lo que hace que las pruebas de regresión controladas y la telemetría sostenida sean especialmente importantes tras el despliegue de emergencia en tus clústeres. Reinicia y confirma la versión en ejecución después del despliegue; las soluciones temporales solo de configuración no proporcionan una cobertura equivalente para este lanzamiento de seguridad de múltiples componentes.

Fuentes:
https://cybersecuritynews.com/apache-tomcat-update/