CVE-2026-76183: Bypass crítico en Apache Tomcat

Resumen ejecutivo

Qué es la vulnerabilidad

La vulnerabilidad CVE-2026-76183 es un fallo de omisión de autenticación por nombre alternativo (CWE-289) en Apache Tomcat. Este defecto permite que un atacante remoto sin credenciales previas omita las restricciones de seguridad configuradas para cualquier endpoint WebSocket.

El problema radica en la forma en que Tomcat gestiona ciertas peticiones HTTP que utilizan nombres alternativos o alias del host. Al explotar esta discrepancia en el manejo de nombres, un atacante puede hacer que las reglas de autorización definidas en web.xml o mediante anotaciones no se apliquen correctamente a las conexiones WebSocket. Como resultado, un endpoint que debería estar protegido por autenticación y control de acceso queda expuesto.

La causa raíz se enmarca en la categoría CWE-289, que describe precisamente la posibilidad de eludir un mecanismo de autenticación utilizando un nombre alternativo del recurso o servicio. En este caso, el nombre alternativo del host o del contexto permite que las peticiones lleguen al endpoint WebSocket sin pasar por los filtros de seguridad.

Dado que la explotación no requiere ninguna interacción por parte del usuario ni credenciales previas, el riesgo se considera máximo. Un atacante con capacidad de alcanzar el servidor afectado podría:

• Acceder a información confidencial transmitida a través de WebSockets.
• Enviar mensajes maliciosos a través de conexiones WebSocket legítimas.
• Potencialmente ejecutar acciones no autorizadas en el contexto de la aplicación.

La puntuación CVSS de 9.8 refleja la gravedad del escenario: impacto total en confidencialidad, integridad y disponibilidad, con vector de red y sin requisitos de autenticación.

Las versiones afectadas incluyen las líneas principales de soporte de Tomcat, así como versiones antiguas que ya habían alcanzado el final de su vida útil (EOS) en el momento de la publicación del aviso. Esto implica que los entornos con versiones sin soporte también deben considerarse vulnerables y requieren una evaluación inmediata.

La actualización a las versiones corregidas (11.0.26, 10.1.60 o 9.0.122) resuelve el fallo. No se ha publicado ningún parche para las versiones 8.5.x o 7.0.x, por lo que los usuarios de estas líneas deben planificar una migración a una versión soportada.

Productos y versiones vulnerables

La vulnerabilidad CVE-2026-76183 afecta a múltiples líneas de versiones de Apache Tomcat. Según la información publicada por CVE.org y NVD, las versiones vulnerables son las siguientes:

Las versiones 8.5.x y 7.0.x ya habían alcanzado el final de su vida útil (EOS) en el momento de la publicación del aviso, por lo que no se ha publicado una corrección para ellas. Otras versiones no soportadas podrían verse afectadas, aunque no se detalla un listado exhaustivo en las fuentes consultadas.

Impacto y riesgo

La vulnerabilidad presenta una puntuación CVSS de 9.8 (CRITICAL) según el vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto puede explotar la falla sin necesidad de autenticación previa ni interacción del usuario, logrando un impacto total en la confidencialidad, integridad y disponibilidad de los sistemas afectados.

La debilidad subyacente se clasifica como CWE-289: Authentication Bypass by Alternate Name. En concreto, la vulnerabilidad permite eludir las restricciones de seguridad aplicables a cualquier endpoint WebSocket. Esto significa que un atacante podría acceder a canales de comunicación que deberían estar protegidos, ejecutar operaciones no autorizadas o provocar una denegación de servicio.

Dado que Apache Tomcat se utiliza ampliamente como contenedor de servlets y servidor web en entornos de producción, el riesgo se considera elevado. La exposición de la infraestructura depende de la configuración de red y de si los endpoints WebSocket son accesibles desde Internet. En cualquier caso, se recomienda priorizar la actualización a las versiones corregidas de forma inmediata.

Estado de explotación conocida

Las fuentes consultadas, incluyendo NVD y CVE.org, no publican información sobre explotación activa de esta vulnerabilidad. No se ha confirmado ni documentado ningún ataque en curso que aproveche esta falla hasta la fecha de publicación del aviso. No obstante, la criticidad de la vulnerabilidad y su facilidad de explotación hacen previsible que los actores malintencionados intenten aprovecharla en breve, por lo que se recomienda aplicar los parches disponibles sin demora.

Indicadores de compromiso (IOC)

No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse. Si se requiere monitorización adicional, se recomienda revisar los registros de acceso a los endpoints WebSocket y los intentos de conexión no autenticada, aunque no se dispone de IOC específicos publicados por los proveedores de inteligencia en el contexto analizado.

Cómo comprobar si estás afectado

Para determinar si tu instalación de Apache Tomcat es vulnerable a CVE-2026-76183, debes verificar la versión exacta del servidor. La vulnerabilidad afecta a las siguientes versiones:

• Apache Tomcat 11.0.x: desde 11.0.0-M1 hasta 11.0.25 (ambas incluidas).
• Apache Tomcat 10.1.x: desde 10.1.0-M1 hasta 10.1.59 (ambas incluidas).
• Apache Tomcat 9.0.x: desde 9.0.0.M1 hasta 9.0.121 (ambas incluidas).
• Apache Tomcat 8.5.x (EOS): desde 8.5.0 hasta 8.5.100.
• Apache Tomcat 7.0.x (EOS): desde 7.0.43 hasta 7.0.109.

El método fiable para conocer la versión es consultar el archivo RELEASE-NOTES o catalina.properties dentro del directorio de instalación, o ejecutar el binario version.sh (Unix) o version.bat (Windows) ubicado en la carpeta bin. También puedes revisar la cabecera HTTP Server en las respuestas del servidor, aunque algunos administradores la ocultan por política de seguridad.

Si tu versión es anterior a las corregidas (11.0.26, 10.1.60 o 9.0.122), o si utilizas versiones EOS (8.5.x o 7.0.x), se considera que estás afectado. No se han publicado parches para las ramas 8.5.x y 7.0.x al estar fuera de soporte, por lo que deberás planificar una actualización a una versión compatible o aplicar medidas compensatorias.

Mitigación y actualización

La única solución oficial confirmada por el fabricante es actualizar a las versiones que corrigen la vulnerabilidad. Las versiones seguras publicadas son:

• Apache Tomcat 11.0.26 o posterior.
• Apache Tomcat 10.1.60 o posterior.
• Apache Tomcat 9.0.122 o posterior.

Para las versiones 8.5.x y 7.0.x, al haber alcanzado el final de soporte (EOS), no se publicarán parches. Los administradores que no puedan migrar a una versión soportada deben considerar la exposición del servidor: si Tomcat no es accesible desde redes no confiables, el riesgo se reduce significativamente. No obstante, la recomendación del fabricante es actualizar a una versión corregida.

Antes de actualizar, revisa las notas de la versión para conocer los cambios y posibles incompatibilidades con tus aplicaciones. Realiza siempre una copia de seguridad completa de la configuración y las aplicaciones desplegadas. La actualización debe probarse en un entorno de ensayo antes de aplicarse en producción.

No se han publicado mitigaciones alternativas oficiales, como reglas de firewall de aplicación web (WAF) o configuración de connector que eliminen la vulnerabilidad. La única vía confirmada es la actualización a las versiones indicadas.

Checklist para administradores

• ☐ Identificar la versión exacta de Apache Tomcat en todos los servidores (producción, ensayo y desarrollo).
• ☐ Comparar la versión instalada con la lista de versiones afectadas publicada en el aviso oficial.
• ☐ Si se usa una versión afectada, planificar la actualización a 11.0.26, 10.1.60 o 9.0.122 según la rama principal.
• ☐ Para instalaciones con versiones EOS (8.5.x o 7.0.x), evaluar la viabilidad de migrar a una rama soportada.
• ☐ Revisar los registros de acceso y errores en busca de patrones anómalos que indiquen intentos de explotación (accesos no autorizados a endpoints WebSocket).
• ☐ Verificar que los security constraints de WebSocket se aplican correctamente tras la actualización.
• ☐ Confirmar que no existen otros servidores Tomcat en la red con versiones vulnerables que hayan quedado fuera del inventario.
• ☐ Documentar el proceso de actualización y las versiones resultantes en el registro de cambios del sistema.

Preguntas frecuentes

¿Qué es CVE-2026-76183?

Es una vulnerabilidad de tipo Authentication Bypass by Alternate Name (CWE-289) en Apache Tomcat. Permite eludir las restricciones de seguridad de cualquier endpoint WebSocket, lo que podría permitir a un atacante no autenticado acceder a funcionalidades protegidas.

¿Qué versión debo instalar para estar seguro?

Debes instalar Apache Tomcat 11.0.26, 10.1.60 o 9.0.122, según la rama principal que uses. Estas versiones contienen la corrección oficial del fabricante.

¿Las versiones 8.5.x y 7.0.x recibirán un parche?

No. Estas ramas han alcanzado el final de soporte (EOS) y no recibirán actualizaciones de seguridad. La recomendación es migrar a una versión soportada.

¿Cómo puedo saber si mi servidor ha sido explotado?

Revisa los registros de acceso de Tomcat en busca de peticiones inusuales a rutas que contengan websocket o ws, especialmente desde direcciones IP no confiables. También verifica si se han establecido conexiones WebSocket sin autenticación previa.

¿La vulnerabilidad es explotable de forma remota?

Sí. El vector CVSS es AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que un atacante remoto sin credenciales ni interacción del usuario puede explotarla, con impacto total en confidencialidad, integridad y disponibilidad.

¿Existen indicadores de compromiso (IOC) conocidos?

No publicado por las fuentes consultadas. No se han extraído IOC estructurados de las referencias oficiales disponibles.

Fuentes oficiales

Para obtener información adicional y verificar la autenticidad de los datos, consulta las siguientes referencias:

• NVD – CVE-2026-76183 (fuente primaria)
• Aviso oficial de Apache Software Foundation
• Anuncio en la lista de correo OSS-Security