Se ha publicado una vulnerabilidad crítica (CVSS 9.1) en Apache Tomcat que afecta a las versiones 11.0.0-M25 hasta 11.0.26. Un fallo de buffer under-read en escrituras no bloqueantes puede provocar la división del cuerpo de la respuesta entre peticiones, causando fallos en la segunda solicitud y una posible fuga de datos entre respuestas. Se recomienda actualizar de forma urgente a la versión 11.0.27.
Resumen ejecutivo
La vulnerabilidad CVE-2026-103119 afecta a Apache Tomcat en las versiones comprendidas entre la 11.0.0-M25 y la 11.0.26, ambas incluidas. El fallo, clasificado como crítico con una puntuación CVSS de 9.1, reside en un buffer under-read que puede provocar la división del cuerpo de una respuesta HTTP entre la petición actual y la siguiente en la misma conexión. Esto puede derivar en el fallo de la segunda petición y, potencialmente, en la fuga de datos de la primera respuesta hacia la segunda. La versión 11.0.27 corrige el problema.
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-103119 |
| Fabricante | Apache Software Foundation |
| Producto | Apache Tomcat |
| Fecha de publicación | 2026-10-20 |
| Severidad | CRÍTICA |
| CVSS | 9.1 (Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H) |
| Prioridad | 185 (según RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-103119 es un fallo de tipo buffer under-read (CWE-127) identificado en Apache Tomcat. Este tipo de error ocurre cuando el software lee datos más allá del límite inicial de un búfer, lo que puede provocar comportamientos inesperados o la exposición de información.
En este caso concreto, el problema se manifiesta durante una escritura no bloqueante de gran tamaño. Cuando Tomcat gestiona una petición que genera una respuesta extensa y la envía de forma no bloqueante, el fallo puede provocar que el cuerpo de esa respuesta se divida de manera incorrecta. Como resultado, una parte de la respuesta correspondiente a la petición actual podría quedar asociada a la siguiente petición que se reciba en esa misma conexión.
Las consecuencias prácticas de este comportamiento son dos:
- Fallo de la segunda petición: la petición siguiente podría procesarse con datos residuales de la respuesta anterior, lo que probablemente provoque un error en su procesamiento.
- Fuga de datos: existe la posibilidad de que parte del contenido de la primera respuesta se incluya en la respuesta a la segunda petición, exponiendo información sensible a un cliente no autorizado.
El vector de ataque es remoto, no requiere autenticación previa ni interacción del usuario, y el impacto se concentra en la confidencialidad y la disponibilidad del servicio. La integridad de los datos no se ve comprometida directamente según la métrica CVSS.
El fallo afecta a las versiones de Apache Tomcat desde la 11.0.0-M25 hasta la 11.0.26, ambas incluidas. La corrección se ha publicado en la versión 11.0.27, por lo que se recomienda encarecidamente actualizar a esta versión o a una posterior.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-103119 afecta al servidor web y contenedor de servlets Apache Tomcat, un producto de la Apache Software Foundation. Según la información publicada por CVE.org, las versiones afectadas son todas aquellas comprendidas entre la 11.0.0-M25 y la 11.0.26, ambas incluidas.
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| Apache Tomcat | Apache Software Foundation | Desde 11.0.0-M25 hasta 11.0.26 (incluidas) | 11.0.27 |
La versión 11.0.27 corrige el problema. Se recomienda encarecidamente a los administradores que actualicen a esta versión o a una posterior. No se han publicado versiones alternativas o parches para otras ramas de desarrollo en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS de 9.1 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H), se origina por una lectura insuficiente del búfer (buffer under-read, CWE-127). Esta condición se desencadena al realizar una escritura no bloqueante de gran tamaño, lo que puede provocar que el cuerpo de la respuesta se divida entre la solicitud actual y la siguiente que se reciba en la misma conexión.
Las consecuencias prácticas de esta falla son dobles:
- Fallo de la segunda solicitud: la división del cuerpo de la respuesta puede corromper la comunicación, provocando que la siguiente petición en esa conexión falle, lo que degrada la disponibilidad del servicio.
- Fuga de información: existe la posibilidad de que parte de los datos de la primera respuesta se filtren en la segunda, lo que compromete la confidencialidad de la información intercambiada.
Dado que el vector de ataque es remoto, no requiere autenticación ni interacción del usuario, y afecta a la confidencialidad y disponibilidad con un alto impacto, el riesgo para los entornos que ejecutan las versiones vulnerables de Apache Tomcat es elevado. Se recomienda priorizar la aplicación de la actualización.
Estado de explotación conocida
Las fuentes consultadas en el contexto no proporcionan información que confirme la existencia de una explotación activa de esta vulnerabilidad en entornos reales. No se mencionan ni exploits públicos ni campañas maliciosas que aprovechen esta falla. Por lo tanto, el estado de explotación se considera no confirmado por las fuentes oficiales.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo correspondiente en el enriquecimiento de datos se encuentra vacío. Por tanto, no se dispone de IOC que puedan ser utilizados para la detección de actividades maliciosas relacionadas con esta vulnerabilidad. No deben inventarse indicadores que no provengan de fuentes oficiales.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Apache Tomcat es vulnerable a CVE-2026-103119, debes verificar la versión exacta del servidor. La vulnerabilidad afecta a todas las versiones comprendidas entre 11.0.0-M25 y 11.0.26 inclusive. Si tu versión se encuentra dentro de este rango, la instalación es vulnerable.
La forma más fiable de conocer la versión es consultar la documentación oficial de Apache Tomcat. No se proporcionan comandos específicos en las fuentes consultadas, por lo que no deben inventarse. Como alternativa, puedes revisar la información de versión en los archivos de instalación o en la consola de administración del servidor, si está disponible.
Es importante tener en cuenta que la clasificación inicial del recolector (que etiqueta el problema como «CRITICAL») no debe confundirse con la información canónica de CVE.org, que identifica el producto afectado como Apache Tomcat de Apache Software Foundation. La versión corregida, según el aviso del fabricante, es la 11.0.27.
Mitigación y actualización
La única mitigación confirmada por el fabricante es actualizar a la versión 11.0.27 de Apache Tomcat. Esta versión corrige la vulnerabilidad de buffer under-read que puede provocar la división del cuerpo de la respuesta entre la petición actual y la siguiente, causando fallos en la segunda petición y una posible fuga de datos entre respuestas.
No se han publicado parches alternativos ni mitigaciones temporales en las fuentes consultadas. Por tanto, no deben mencionarse workarounds que no estén documentados oficialmente. La recomendación es clara: planificar la actualización a la versión corregida lo antes posible, especialmente si el servidor está expuesto a redes no confiables.
Dado que el vector CVSS es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H con una puntuación de 9.1, la vulnerabilidad es explotable de forma remota sin autenticación y sin interacción del usuario. Esto eleva la urgencia de la actualización, ya que el impacto en confidencialidad y disponibilidad es alto.
Checklist para administradores
- ☐ Identificar todas las instancias de Apache Tomcat en tu infraestructura y anotar sus versiones exactas.
- ☐ Comparar cada versión con el rango afectado:
11.0.0-M25hasta11.0.26inclusive. - ☐ Priorizar la actualización de los servidores expuestos a Internet o a redes no confiables.
- ☐ Revisar el aviso oficial del fabricante en la lista de Apache para confirmar detalles y posibles notas adicionales.
- ☐ Planificar la actualización a la versión
11.0.27en un entorno de pruebas antes de aplicarla en producción. - ☐ Verificar que las aplicaciones desplegadas son compatibles con la nueva versión antes de la migración.
- ☐ Tras la actualización, comprobar el correcto funcionamiento de los servicios y la integridad de las respuestas HTTP.
- ☐ Monitorizar los logs del servidor para detectar cualquier comportamiento anómalo relacionado con peticiones no bloqueantes.
Preguntas frecuentes
¿Qué es un buffer under-read?
Es un tipo de vulnerabilidad en la que el software lee datos de una posición anterior al inicio del búfer asignado. En este caso, puede provocar que el cuerpo de una respuesta se divida entre la petición actual y la siguiente, causando fallos y una posible fuga de información entre respuestas.
¿La vulnerabilidad es explotable de forma remota?
Sí. El vector CVSS indica AV:N (red) con complejidad de ataque baja (AC:L) y sin requisitos de privilegios (PR:N). Esto significa que un atacante remoto podría explotarla sin autenticación previa.
¿Qué versión corrige el problema?
Según el aviso del fabricante, la versión 11.0.27 de Apache Tomcat corrige la vulnerabilidad. No se han publicado otras versiones corregidas en las fuentes consultadas.
¿Existen indicadores de compromiso (IOC) conocidos?
No. Las fuentes consultadas no han publicado IOC estructurados para esta vulnerabilidad. No deben buscarse ni utilizarse indicadores que no estén oficialmente documentados.
¿Qué impacto tiene en la confidencialidad y disponibilidad?
El vector CVSS asigna un impacto alto tanto en confidencialidad (C:H) como en disponibilidad (A:H). Esto se debe a la posible fuga de datos de la primera respuesta hacia la segunda petición y al fallo de la segunda petición.
¿Debo actualizar aunque no use peticiones no bloqueantes?
Sí. Aunque la vulnerabilidad se manifiesta en escrituras no bloqueantes, el servidor puede verse afectado en cualquier configuración que permita este tipo de operaciones. La actualización a la versión corregida es la única mitigación confirmada.