Apache Tomcat ha corregido ocho fallos de seguridad que podrían permitir a los atacantes omitir las verificaciones de contraseñas, exponer datos entre usuarios e interrumpir conexiones. Las correcciones fueron publicadas el 20 de octubre de 2026 en las versiones 11.0.27, 10.1.61 y 9.0.123, aunque no todas las vulnerabilidades afectan a todas las versiones.

Apache Tomcat ha corregido ocho fallos de seguridad que podrían permitir a los atacantes saltarse las comprobaciones de contraseña, exponer datos entre usuarios e interrumpir las conexiones bajo condiciones específicas.

Apache reveló las vulnerabilidades el 20 de octubre de 2026, tras publicar correcciones en Tomcat 11.0.27, 10.1.61 y 9.0.123. Los ocho problemas abarcan diferentes ramas de lanzamiento, por lo que no todos los fallos afectan a todas las versiones.

Apache califica tres fallos como Importantes y cinco como Bajos. Los problemas más graves afectan a la autenticación, el manejo de solicitudes HTTP/2 y el procesamiento de respuestas AJP. Su impacto depende de la versión de Tomcat y de las funciones habilitadas, por lo que revisar tu configuración es una parte importante para evaluar tu exposición.

El CVE-2026-101296 afecta a JNDIRealm cuando se configura con un mecanismo de autenticación SASL no-GSSAPI. Un paso de validación ausente permite que los atacantes se autentiquen sin proporcionar la contraseña correcta.

El fallo afecta a Tomcat desde 11.0.0-M1 hasta 11.0.26, desde 10.1.0-M1 hasta 10.1.60, y desde 9.0.0.M1 hasta 9.0.122. No se trata de un salto de inicio de sesión universal en todas las instalaciones de Tomcat.

Apache Tomcat Corrige 8 Fallos de Seguridad

Este problema difiere del salto de JNDIRealm relacionado con GSSAPI cubierto anteriormente en el informe sobre vulnerabilidades de autenticación de Apache Tomcat.

El aviso más reciente se refiere a otros mecanismos SASL, por lo que deberías comprobar los ajustes de autenticación reales en lugar de confiar únicamente en el nombre del componente.

El CVE-2026-101356 implica un reciclaje y reutilización incorrectos de objetos internos durante el procesamiento HTTP/2 de servlets asíncronos. Tras un error de procesamiento, las solicitudes o respuestas pueden mezclarse entre usuarios.

Las versiones afectadas incluyen desde la 11.0.22 hasta la 11.0.26, desde la 10.1.55 hasta la 10.1.60, y desde la 9.0.118 hasta la 9.0.122. Esto crea el riesgo de que la información cruce los límites entre usuarios.

El CVE-2026-103119 afecta al manejo de respuestas AJP en Tomcat desde 11.0.0-M25 hasta 11.0.26. Una lectura insuficiente del búfer (buffer under-read) durante una escritura no bloqueante grande puede dividir el cuerpo de una respuesta entre la solicitud actual y la siguiente en la misma conexión.

Apache afirma que el resultado probable es el fallo de la segunda solicitud, con una posible filtración de la primera respuesta. El CVE-2026-88041 permite que la información del "trailer" de HTTP/2 de una solicitud anterior se filtre en una posterior debido a que la limpieza es incompleta.

Otro fallo de limpieza, el CVE-2026-93446, puede causar fallos intermitentes en las conexiones TLS 1.3. Apache califica ambos problemas como Bajos, separándolos de la mezcla de solicitudes y respuestas entre usuarios, que es más grave.

El CVE-2026-74049 afecta al complemento JSTL <c: redirect> de Jasper. El procesamiento no se detiene inmediatamente después de una redirección, lo que permite que se ejecute el código restante de la página.

El CVE-2026-74048 afecta a las configuraciones OpenSSL-FFM que utilizan el modo FIPS. Si la activación de FIPS falla, Tomcat registra un error pero continúa con JSSE en modo no-FIPS en lugar de detener el arranque.

El octavo fallo, CVE-2026-80353, se refiere al conector APR de Tomcat 9. Una condición de carrera al crear un Unix Domain Socket puede dar acceso a un usuario local no autorizado. Apache indica que la corrección anterior para el CVE-2026-65183 no cubría este conector. Las versiones 9.0.47 hasta la 9.0.122 están afectadas.

Deberías actualizar tus despliegues afectados a la versión corregida de tu rama. El aviso de seguridad de Apache para Tomcat 11 y el de Tomcat 9 proporcionan los rangos afectados y los detalles del parche.

Los fallos de control de acceso de Tomcat anteriores ofrecen un contexto útil, pero sus versiones parcheadas más antiguas no resuelven este nuevo lote. Los avisos de Apache no informan de una explotación activa. Sin embargo, el salto de contraseña y los riesgos de datos entre usuarios justifican que apliques el parche rápidamente siempre que utilices las funciones afectadas.