Apache Tomcat ha publicado una actualización de seguridad crítica para corregir una vulnerabilidad de reciclaje y reutilización incorrecta de objetos en el procesamiento HTTP/2 de servlets asíncronos. Esta falla, identificada como CVE-2026-101356, podría permitir la mezcla de solicitudes y respuestas entre usuarios, comprometiendo la confidencialidad y disponibilidad de las aplicaciones. Se recomienda encarecidamente actualizar a las versiones corregidas de inmediato.
Resumen ejecutivo
Se ha identificado una vulnerabilidad crítica en Apache Tomcat que afecta al procesamiento de servlets asíncronos a través de HTTP/2. La falla, catalogada como CVE-2026-101356, se origina por un reciclaje y reutilización incorrecta de objetos, lo que podría provocar una mezcla de solicitudes y respuestas entre distintos usuarios. Esta situación podría derivar en la exposición de información sensible o en la interrupción del servicio.
| CVE | CVE-2026-101356 |
|---|---|
| Fabricante | Apache Software Foundation |
| Producto | Apache Tomcat |
| Fecha de publicación | 2026-10-20 |
| Severidad | CRITICAL |
| CVSS | 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H) |
| Prioridad | 185 (según puntuación RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-101356 reside en una gestión incorrecta del ciclo de vida de los objetos utilizados por Apache Tomcat durante el procesamiento de servlets asíncronos en conexiones HTTP/2. En términos técnicos, se produce un fallo en el reciclaje y la reutilización de estos objetos, lo que puede ocasionar que una solicitud o respuesta de un usuario sea asociada erróneamente a otro.
Este tipo de error, clasificado como CWE-362 (Race Condition), explota una condición de carrera en la que el estado compartido de los objetos no se sincroniza adecuadamente. En un escenario de alta concurrencia, como el que se puede dar en un servidor web con múltiples peticiones HTTP/2 simultáneas, la probabilidad de que se produzca esta mezcla de datos aumenta considerablemente.
El impacto principal es la posible fuga de información entre sesiones de usuarios. Un atacante podría recibir datos de una solicitud o respuesta destinada a otra víctima, o incluso inyectar contenido en la comunicación de un tercero. Además, la naturaleza de la falla también podría provocar una denegación de servicio (DoS), ya que la corrupción del estado de las peticiones puede hacer que el servidor falle o se comporte de manera inesperada.
Es importante destacar que la vulnerabilidad es explotable de forma remota y no requiere autenticación previa, lo que incrementa su nivel de riesgo. El vector de ataque es a través de la red (AV:N) y la complejidad del ataque es baja (AC:L), lo que significa que un atacante podría aprovechar esta falla sin necesidad de condiciones especiales.
Las versiones afectadas incluyen las ramas 11.0.x, 10.1.x y 9.0.x de Apache Tomcat, y el fabricante ya ha publicado las versiones corregidas que resuelven este problema. La actualización a las versiones 11.0.27, 10.1.61 o 9.0.123 es la medida principal para mitigar el riesgo.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-101356 afecta a varias ramas de Apache Tomcat. Según la información publicada por el fabricante y recogida en el contexto, las versiones vulnerables son las siguientes:
| Rama | Versiones afectadas | Versión corregida |
|---|---|---|
| Apache Tomcat 11.x | Desde 11.0.22 hasta 11.0.26 (ambas incluidas) | 11.0.27 |
| Apache Tomcat 10.1.x | Desde 10.1.55 hasta 10.1.60 (ambas incluidas) | 10.1.61 |
| Apache Tomcat 9.0.x | Desde 9.0.118 hasta 9.0.122 (ambas incluidas) | 9.0.123 |
Se recomienda actualizar a las versiones corregidas indicadas en la tabla. No se han publicado versiones afectadas adicionales en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.1 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H), se origina por un reciclado y reutilización incorrecta de objetos en el procesamiento de servlets asíncronos sobre HTTP/2. Esto puede provocar una mezcla de solicitudes y/o respuestas entre distintos usuarios.
El impacto técnico se desglosa de la siguiente manera:
- Confidencialidad (Alta): Un atacante podría recibir respuestas HTTP/2 destinadas a otras víctimas, lo que expondría datos sensibles como tokens de sesión, credenciales o información personal.
- Integridad (Ninguna): No se ha indicado un impacto directo sobre la integridad de los datos en las fuentes consultadas.
- Disponibilidad (Alta): La mezcla de solicitudes podría provocar errores de procesamiento que lleven a una denegación de servicio.
La puntuación de explotabilidad es de 3.9 y el impacto de 5.2, lo que refleja la facilidad de explotación remota sin necesidad de autenticación ni interacción del usuario. La gravedad se ve incrementada por el hecho de que el vector de ataque es de red (AV:N) y la complejidad es baja (AC:L).
Dado que el problema afecta al procesamiento HTTP/2 de servlets asíncronos, los despliegues que utilicen esta funcionalidad son especialmente susceptibles. La mezcla de solicitudes entre usuarios podría tener consecuencias graves para la privacidad y la seguridad de las aplicaciones web alojadas en Tomcat.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa de esta vulnerabilidad. No se han incluido referencias a exploits, pruebas de concepto o ataques en curso en el contexto proporcionado. Por lo tanto, no se puede confirmar si la vulnerabilidad está siendo explotada en el momento de la publicación de este análisis.
Se recomienda encarecidamente aplicar las actualizaciones de seguridad proporcionadas por el fabricante para mitigar el riesgo, independientemente de la ausencia de exploits conocidos.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo ioc en el contexto se encuentra vacío. Por lo tanto, no se dispone de IOC publicados para esta vulnerabilidad. No deben inventarse indicadores que no estén respaldados por las fuentes oficiales.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Apache Tomcat es vulnerable a CVE-2026-101356, debes verificar la versión exacta del servidor en cada entorno (desarrollo, pruebas y producción). La vulnerabilidad afecta a las siguientes ramas y versiones específicas:
| Rama | Versiones afectadas | Versión corregida |
|---|---|---|
| Apache Tomcat 11.x | Desde 11.0.22 hasta 11.0.26 (ambas incluidas) | 11.0.27 |
| Apache Tomcat 10.1.x | Desde 10.1.55 hasta 10.1.60 (ambas incluidas) | 10.1.61 |
| Apache Tomcat 9.0.x | Desde 9.0.118 hasta 9.0.122 (ambas incluidas) | 9.0.123 |
La forma más fiable de conocer la versión es consultar la documentación oficial de tu despliegue o el panel de administración. No se publican comandos específicos en las fuentes consultadas, por lo que no deben inventarse. Si no puedes confirmar la versión exacta, trata cualquier instalación dentro de los rangos indicados como potencialmente vulnerable.
Importante: la vulnerabilidad está clasificada como CRITICAL con una puntuación CVSS de 9.1 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H). Esto implica que un atacante remoto sin autenticación podría explotarla, comprometiendo la confidencialidad y disponibilidad del servicio.
Mitigación y actualización
La única solución confirmada por el fabricante es actualizar a las versiones corregidas. No se han publicado parches alternativos ni mitigaciones temporales en las fuentes consultadas. Por tanto, la acción recomendada es clara:
- Apache Tomcat 11.x: actualizar a la versión 11.0.27.
- Apache Tomcat 10.1.x: actualizar a la versión 10.1.61.
- Apache Tomcat 9.0.x: actualizar a la versión 9.0.123.
Antes de aplicar la actualización en producción, se recomienda probarla en un entorno de pruebas que replique la configuración real, especialmente si se utilizan servlets asíncronos y HTTP/2, que son los componentes afectados. Si la actualización no puede aplicarse de inmediato, evalúa el riesgo asumiendo que el servicio podría estar expuesto. No se dispone de información sobre mitigaciones compensatorias publicadas por el fabricante.
Checklist para administradores
- ☐ Identificar todas las instancias de Apache Tomcat en la infraestructura (incluyendo entornos de desarrollo y contenedores).
- ☐ Verificar la versión exacta de cada instancia y compararla con los rangos afectados (11.0.22-11.0.26, 10.1.55-10.1.60, 9.0.118-9.0.122).
- ☐ Revisar si las aplicaciones desplegadas utilizan servlets asíncronos y HTTP/2, ya que son los componentes implicados en la vulnerabilidad.
- ☐ Planificar la actualización a las versiones corregidas (11.0.27, 10.1.61 o 9.0.123) en un entorno de pruebas.
- ☐ Programar la ventana de mantenimiento para aplicar la actualización en producción, priorizando las instancias expuestas a Internet.
- ☐ Tras la actualización, verificar el funcionamiento de las aplicaciones y monitorizar los logs en busca de actividad anómala.
- ☐ Documentar el incidente y las acciones tomadas para futuras auditorías y revisión de procedimientos.
Preguntas frecuentes
¿Qué causa exactamente esta vulnerabilidad?
La vulnerabilidad se origina por un reciclado y reutilización incorrecta de objetos en Apache Tomcat durante el procesamiento HTTP/2 de servlets asíncronos. Esto puede provocar una mezcla de solicitudes y/o respuestas entre distintos usuarios, lo que podría exponer datos sensibles de una sesión a otra.
¿Qué impacto puede tener en mi aplicación?
El impacto potencial es alto en confidencialidad y disponibilidad. Un atacante podría recibir respuestas destinadas a otro usuario o provocar una denegación de servicio. La integridad no se ve afectada según el vector CVSS.
¿La vulnerabilidad es explotable de forma remota?
Sí. El vector CVSS indica que el ataque es remoto, no requiere autenticación ni interacción del usuario, y la complejidad del ataque es baja. Esto eleva significativamente el riesgo.
¿Existe algún parche o actualización de emergencia?
No se ha publicado ningún parche adicional. La única solución es actualizar a las versiones corregidas indicadas por el fabricante: 11.0.27, 10.1.61 o 9.0.123.
¿Debo preocuparme si uso HTTP/1.1?
La vulnerabilidad afecta específicamente al procesamiento HTTP/2. Si tu despliegue no utiliza HTTP/2, el riesgo podría ser menor, pero se recomienda igualmente actualizar a una versión corregida para garantizar la seguridad a largo plazo.
¿Qué hago si no puedo actualizar inmediatamente?
Si no puedes aplicar la actualización de inmediato, evalúa si las instancias afectadas están expuestas a redes no confiables. Como no hay mitigaciones publicadas, la exposición prolongada conlleva un riesgo crítico. Considera aislar temporalmente los servicios o restringir el acceso mientras se planifica la actualización.
Fuentes oficiales
Para obtener información detallada y verificar la autenticidad de esta alerta, consulta las siguientes referencias oficiales: