Kerngegevens
- Leverancier
- Apache
- Product
- Apache Tomcat
- Soort software
- webserver
- Getroffen versies
- Apache Tomcat 11.0.22 t/m 11.0.26, 10.1.55 t/m 10.1.60, 9.0.118 t/m 9.0.122
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Apache Tomcat 11.0.27
- Apache Tomcat 10.1.61
- Apache Tomcat 9.0.123
- CVE gepubliceerd
- 20 oktober 2026
- Gepubliceerd op LekkenRadar
- 20 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Apache Tomcat gaat er iets mis bij het hergebruiken van interne objecten tijdens de verwerking van HTTP/2 bij asynchrone servlets. Daardoor kunnen verzoeken en/of antwoorden van verschillende gebruikers door elkaar lopen. Een gebruiker kan dan gegevens van een ander te zien krijgen, of het verkeer kan verstoord raken.
Wie loopt risico?
Je loopt risico als je Apache Tomcat draait in versie 11.0.22 tot en met 11.0.26, 10.1.55 tot en met 10.1.60 of 9.0.118 tot en met 9.0.122. Het gaat om toepassingen die HTTP/2 gebruiken in combinatie met asynchrone servlets. De aanval kan via het netwerk, zonder inloggegevens en zonder dat een gebruiker iets hoeft te doen. In de gegevens staat geen melding van actief misbruik.
Wat moet je doen?
Controleer je Tomcat-versie
Kijk na welke versie van Apache Tomcat je gebruikt. Getroffen zijn 11.0.22 tot en met 11.0.26, 10.1.55 tot en met 10.1.60 en 9.0.118 tot en met 9.0.122.
Werk Tomcat bij
Update naar Apache Tomcat 11.0.27, 10.1.61 of 9.0.123, afhankelijk van de versielijn die je gebruikt.
Beperk de blootstelling tot je hebt bijgewerkt
Het lek speelt bij HTTP/2 met asynchrone servlets. Kun je niet direct updaten, beperk dan de bereikbaarheid van de server en volg het advies van Apache.
Lees het advies van de leverancier
Meer informatie staat in de melding van Apache op de mailinglijst, zie de bronnen bij dit bericht.
Dezelfde update lost meer lekken op
Tomcat 11.0.27 (en 10.1.61 en 9.0.123) lost ook een kritiek lek op waarbij inloggen zonder wachtwoord mogelijk is via de JNDI-realm (CVE-2026-101296, https://lekkenradar.nl/cve/cve-2026-101296/). Tomcat 11.0.27 verhelpt daarnaast een buffer under-read (CVE-2026-103119, https://lekkenradar.nl/cve/cve-2026-103119/).
Let op: Apache Tomcat 9.0 krijgt na 31 maart 2027 geen updates meer. Plan je overstap naar Apache Tomcat 10.0. Bekijk bij Producten zonder updates
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek betreft onjuist recyclen en hergebruiken van objecten in de HTTP/2-verwerking van Apache Tomcat bij asynchrone servlets. Hierdoor kan een object dat nog bij de ene gebruiker hoort, opnieuw worden ingezet voor een andere gebruiker, waardoor request en/of response door elkaar kunnen lopen. De fout is ingedeeld als CWE-362, een race condition door gelijktijdige toegang tot een gedeelde bron. De CVSS-vector (3.1) geeft een aanval via het netwerk met lage complexiteit, zonder rechten en zonder gebruikersinteractie. De impact op vertrouwelijkheid en beschikbaarheid is hoog, op integriteit is die niet aangegeven. De score van 9,1 komt van de CNA.
CVSS-vector (versie 3.1, basisscore 9,1, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H- Zwakheid (CWE)
- CWE-362 · Race condition (gelijktijdige toegang tot een gedeelde bron zonder correcte synchronisatie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,5%
- Aanvalscode openbaar
- Nee