Apache Tomcat: un panorama di vulnerabilità 2026

Nel mese di aprile 2026, la comunità di sicurezza ha ricevuto una comunicazione ufficiale da Apache riguardante otto falle di sicurezza che interessano le principali branche di Tomcat (9.x, 10.x e 11.x). Le vulnerabilità, numerate con i rispettivi CVE, coprono un ampio spettro di funzionalità: dall’autenticazione tramite JNDIRealm, al connettore AJP, alla gestione di HTTP/2, fino alle impostazioni FIPS e alla creazione di socket Unix.

Classificazione e gravità

Apache ha classificato le vulnerabilità in due categorie:

• Important – 3 CVE
• Low – 5 CVE

La distinzione non implica che le vulnerabilità “Low” siano innocue; piuttosto, la loro esposizione dipende fortemente dalla configurazione specifica del server. In ogni caso, l’uso di versioni non aggiornate espone l’infrastruttura a rischi reali.

Dettaglio dei CVE più rilevanti

CVE	Descrizione	Branch interessato	Versione corretta
CVE‑2026‑101296	Bypass di autenticazione in JNDIRealm quando si utilizza un meccanismo SASL non‑GSSAPI. L’assenza di un controllo di validazione consente a un attaccante di autenticarsi senza password.	9.x, 10.x, 11.x	9.0.123, 10.1.61, 11.0.27
CVE‑2026‑103119	Buffer under‑read nel connettore AJP 11.0. Una scrittura non‑bloccante di grandi dimensioni può frammentare il corpo di risposta tra richieste consecutive, esponendo potenzialmente dati sensibili.	11.x	11.0.27
CVE‑2026‑101356	Riciclo errato di oggetti durante l’elaborazione asincrona HTTP/2. Un errore può far riutilizzare oggetti tra utenti, creando un canale di divulgazione cross‑user.	9.x, 10.x, 11.x	9.0.123, 10.1.61, 11.0.27
CVE‑2026‑80353	Race condition TOCTOU nella creazione di socket Unix tramite APR/Native. Utenti locali non autorizzati potrebbero ottenere accesso al socket.	9.x, 10.x, 11.x	9.0.123, 10.1.61, 11.0.27
CVE‑2026‑74049	Mancanza di terminazione immediata dopo un redirect in Jasper JSTL <c:redirect>. Il flusso di esecuzione continua, potenzialmente esponendo dati.	9.x, 10.x, 11.x	9.0.123, 10.1.61, 11.0.27
CVE‑2026‑74048	Gestione errata di FIPS in OpenSSL‑FFM. Se l’attivazione FIPS fallisce, Tomcat continua a usare JSSE in modalità non‑FIPS, violando la configurazione desiderata.	9.x, 10.x, 11.x	9.0.123, 10.1.61, 11.0.27
CVE‑2026‑93446	Interruzioni intermittenti di TLS 1.3 dovute a pulizia incompleta.	9.x, 10.x, 11.x	9.0.123, 10.1.61, 11.0.27
CVE‑2026‑88041	Trailer HTTP/2 che si propagano tra richieste successive, potenzialmente esponendo informazioni sensibili.	9.x, 10.x, 11.x	9.0.123, 10.1.61, 11.0.27

Impatto pratico sulle configurazioni

Le vulnerabilità non colpiscono tutti i server Tomcat in modo uniforme. Alcune dipendono da componenti specifici o da configurazioni particolari:

• JNDIRealm: se abilitato con meccanismi SASL non‑GSSAPI, è vulnerabile al bypass di autenticazione.
• AJP: la vulnerabilità è presente solo nella versione 11.x; le versioni 9.x e 10.x sono sicure.
• HTTP/2: la gestione asincrona può causare cross‑user disclosure se non correttamente isolata.
• Socket Unix: la race condition è attiva in APR/Native; i connettori NIO sono già stati corretti in precedenza.
• Jasper JSTL: la mancanza di abortio dopo redirect può essere sfruttata in applicazioni che utilizzano <c:redirect>.
• FIPS: se la configurazione FIPS è attivata ma fallisce, Tomcat continua in modalità non‑FIPS.

Raccomandazioni operative

1. Aggiornamento immediato – installare le versioni 9.0.123, 10.1.61 o 11.0.27 a seconda del branch in uso.
2. Audit delle configurazioni – verificare l’uso di JNDIRealm, AJP, HTTP/2 e FIPS. Disabilitare componenti non necessari.
3. Controllo dei permessi – per i socket Unix, assicurarsi che solo gli utenti autorizzati possano accedervi.
4. Test di sicurezza – eseguire scansioni di vulnerabilità e test di penetrazione per confermare la mitigazione.
5. Monitoraggio – implementare log di sicurezza dettagliati per rilevare eventuali tentativi di bypass o di divulgazione di dati.

Conclusioni

Apache Tomcat rimane uno dei container Java più diffusi, ma la sua sicurezza dipende fortemente dalla corretta configurazione e dall’aggiornamento tempestivo. Le otto vulnerabilità pubblicate in 2026 evidenziano come componenti che sembrano “ben fatti” (come JNDIRealm o AJP) possano comunque presentare falle di sicurezza se non gestiti con attenzione. Gli amministratori di sistema devono quindi adottare una strategia di patching proattiva, accompagnata da un audit continuo delle impostazioni critiche.

La gestione di queste vulnerabilità non è solo una questione di compliance; è un investimento diretto nella protezione dei dati e nella reputazione dell’organizzazione. Con le versioni corrette e le configurazioni adeguate, è possibile mitigare efficacemente i rischi e garantire la continuità operativa.

---

Nota: le informazioni riportate sono basate sulla comunicazione ufficiale di Apache e su analisi di sicurezza indipendenti. Per ulteriori dettagli, consultare la documentazione di Apache Tomcat e le specifiche CVE.