Alerta crítica: Se ha divulgado la vulnerabilidad CVE-2026-86248 en Apache Tomcat, con una puntuación CVSS de 9.8 y severidad CRITICAL. El fallo afecta al mecanismo de autenticación CLIENT_CERT y podría permitir la omisión de la verificación de certificados de cliente bajo ciertas condiciones. Se recomienda encarecidamente actualizar a las versiones corregidas publicadas por el fabricante: 11.0.26, 10.1.60 y 9.0.122.
Resumen ejecutivo
La vulnerabilidad CVE-2026-86248 afecta al mecanismo de autenticación CLIENT_CERT de Apache Tomcat. Cuando la opción soft fail está deshabilitada, la autenticación no falla como se espera en ciertos escenarios, lo que podría permitir a un atacante eludir la verificación de certificados y obtener acceso no autorizado a recursos protegidos. El fabricante ha publicado versiones corregidas y recomienda su aplicación inmediata.
| CVE | CVE-2026-86248 |
|---|---|
| Fabricante | Apache Software Foundation |
| Producto | Apache Tomcat |
| Fecha de publicación | 2026-09-23 |
| Severidad | CRITICAL |
| Puntuación CVSS | 9,8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 200 (Crítica) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-86248 es una vulnerabilidad en el mecanismo de autenticación mutua mediante certificados de cliente (CLIENT_CERT) en Apache Tomcat. Este mecanismo se utiliza para verificar la identidad del cliente que se conecta al servidor a través de un certificado digital X.509 emitido por una autoridad de certificación de confianza.
El fallo se produce específicamente cuando la funcionalidad de soft fail está deshabilitada. En condiciones normales, si un cliente envía un certificado no válido o inaceptable, el servidor debería rechazar la conexión y terminar el proceso de autenticación. Sin embargo, debido a este defecto, la autenticación no falla como se espera en ciertos escenarios concretos. Esto significa que una solicitud que debería ser denegada podría ser aceptada, permitiendo el acceso a recursos que requieren autenticación mediante certificado.
La causa raíz subyace en la lógica de manejo de errores dentro del procesamiento de certificados de cliente. En lugar de detener la solicitud inmediatamente, el flujo de ejecución continúa y el sistema interpreta la autenticación como satisfactoria.
Apache Tomcat es uno de los servidores de aplicaciones Java más utilizados en el mundo, por lo que esta vulnerabilidad tiene un alcance potencialmente amplio. Las versiones afectadas abarcan tres ramas principales de mantenimiento (9.x, 10.1.x y 11.x), lo que incluye tanto implementaciones de larga duración como despliegues más recientes.
El vector CVSS AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H confirma la gravedad del fallo: la explotación es posible de forma remota, no requiere privilegios previos ni interacción del usuario, y compromete por completo la confidencialidad, integridad y disponibilidad de los datos gestionados por el servidor. La puntuación de 9,8 sobre 10 refleja el alto riesgo asociado, especialmente en entornos expuestos a Internet.**
No se han publicado detalles técnicos adicionales sobre los vectores específicos de explotación en las fuentes consultadas.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-86248 afecta a Apache Tomcat en las siguientes ramas y rangos de versiones, según la información publicada por CVE.org y el aviso del fabricante:
| Rama de producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Apache Tomcat 11.0.x | Desde 11.0.0-M14 hasta 11.0.25 (inclusive) | 11.0.26 |
| Apache Tomcat 10.1.x | Desde 10.1.22 hasta 10.1.59 (inclusive) | 10.1.60 |
| Apache Tomcat 9.0.x | Desde 9.0.92 hasta 9.0.121 (inclusive) | 9.0.122 |
No se han publicado otras ramas o versiones afectadas en las fuentes consultadas. Si su despliegue utiliza una versión dentro de los rangos indicados, se considera vulnerable y debe planificarse la actualización de forma prioritaria.
Impacto y riesgo
La vulnerabilidad ha sido clasificada con una puntuación CVSS v3.1 de 9.8 (crítica), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto implica que un atacante remoto puede explotar la falla sin necesidad de autenticación previa ni interacción del usuario, y el impacto potencial es alto en los tres ejes clásicos de seguridad:
- Confidencialidad (C: Alta): acceso no autorizado a información sensible procesada por la aplicación.
- Integridad (I: Alta): posibilidad de modificar datos o configuración de forma no autorizada.
- Disponibilidad (A: Alta): riesgo de interrupción del servicio o denegación de servicio.
La causa raíz descrita es un fallo en el mecanismo de autenticación CLIENT_CERT cuando el soft fail está deshabilitado. En escenarios concretos, la autenticación no falla como se espera, lo que puede permitir que una solicitud no autenticada o con certificado inválido sea procesada por la aplicación. Dado que Tomcat actúa como contenedor de aplicaciones web en multitud de entornos de producción, el riesgo práctico es elevado, especialmente en despliegues expuestos a Internet o en redes no confiables.
La criticidad se ve incrementada por la facilidad de explotación (red, complejidad baja, sin privilegios) y por la ausencia de requisitos de interacción con el usuario. Se recomienda tratar esta vulnerabilidad como prioridad máxima en los planes de parcheo.
Estado de explotación conocida
Las fuentes consultadas (NVD, CVE.org y el aviso del fabricante) no publican información que confirme explotación activa en entornos reales para esta CVE. No se ha incluido ninguna referencia a ataques en curso, exploits públicos o pruebas de concepto en el contexto analizado.
La ausencia de confirmación de explotación no debe interpretarse como ausencia de riesgo. Dada la puntuación CVSS y la naturaleza del fallo, es probable que se desarrollen herramientas de explotación en el corto plazo. La actualización a las versiones corregidas debe realizarse sin demora, incluso sin evidencia pública de explotación.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc aparece vacío en el contexto proporcionado, por lo que no se dispone de IOC publicados para esta vulnerabilidad.
No deben inventarse indicadores ni patrones de detección. Se recomienda monitorizar los registros de acceso a Tomcat, especialmente los relacionados con autenticación mediante certificado de cliente, y revisar cualquier comportamiento anómalo en las rutas protegidas por CLIENT_CERT. La ausencia de IOC públicos no descarta actividad maliciosa; la detección debe basarse en el análisis de comportamiento y en la verificación de versiones instaladas.
Cómo comprobar si estás afectado
Para determinar si tu instalación de Apache Tomcat es vulnerable a CVE-2026-86248, debes verificar la versión exacta del servidor y compararla con los rangos afectados publicados por el fabricante. Esta vulnerabilidad afecta a las siguientes ramas y versiones:
- Apache Tomcat 11.0.0-M14 hasta 11.0.25 (incluidas todas las versiones intermedias).
- Apache Tomcat 10.1.22 hasta 10.1.59.
- Apache Tomcat 9.0.92 hasta 9.0.121.
El método más fiable para conocer la versión instalada es consultar la documentación oficial de tu despliegue o el propio servidor. No obstante, no se publican comandos específicos en las fuentes consultadas, por lo que no deben asumirse ni inventarse. Si tu versión se encuentra dentro de los rangos indicados, se considera que el sistema está afectado y debe aplicarse la actualización correspondiente.
Nota importante: La vulnerabilidad está relacionada con la autenticación
CLIENT_CERTcuando el soft fail está deshabilitado. Si utilizas este método de autenticación en tus aplicaciones, presta especial atención a la revisión de tu versión.
Mitigación y actualización
La única mitigación confirmada por el fabricante es la actualización a una versión corregida. Según el aviso oficial de Apache Software Foundation, las versiones que resuelven el problema son:
- Apache Tomcat 11.0.26 (para la rama 11.x).
- Apache Tomcat 10.1.60 (para la rama 10.1.x).
- Apache Tomcat 9.0.122 (para la rama 9.0.x).
Se recomienda encarecidamente planificar la actualización a estas versiones o superiores en todas las instancias afectadas. Antes de proceder, asegúrate de:
- Revisar las notas de la versión y los cambios de compatibilidad en la documentación oficial.
- Realizar una copia de seguridad completa de la configuración y las aplicaciones desplegadas.
- Probar la actualización en un entorno de preproducción antes de aplicarla en producción.
No se han publicado mitigaciones alternativas (como cambios de configuración o parches temporales) en las fuentes consultadas. Por tanto, la actualización es la acción recomendada y la única confirmada por el fabricante.
Checklist para administradores
Utiliza esta lista para asegurarte de que has cubierto todos los aspectos necesarios antes, durante y después de la actualización:
- ☐ Identificar todas las instancias de Apache Tomcat en tu infraestructura (incluyendo entornos de desarrollo, pruebas y producción).
- ☐ Verificar la versión exacta de cada instancia y compararla con los rangos afectados por CVE-2026-86248.
- ☐ Confirmar si las aplicaciones desplegadas utilizan autenticación
CLIENT_CERTcon soft fail deshabilitado. - ☐ Revisar el aviso oficial del fabricante en lists.apache.org para obtener información adicional.
- ☐ Planificar la actualización a las versiones corregidas (11.0.26, 10.1.60 o 9.0.122) en un entorno de pruebas.
- ☐ Realizar copias de seguridad completas antes de aplicar los cambios.
- ☐ Programar la ventana de mantenimiento para la actualización en producción.
- ☐ Verificar el correcto funcionamiento de las aplicaciones tras la actualización.
- ☐ Monitorizar los logs de autenticación para detectar comportamientos anómalos.
Preguntas frecuentes
¿Qué es CVE-2026-86248?
Es una vulnerabilidad crítica (CVSS 9.8) en Apache Tomcat que afecta a la autenticación CLIENT_CERT. Cuando el soft fail está deshabilitado, la autenticación no falla como se espera en algunos escenarios, lo que podría permitir a un atacante eludir la autenticación.
¿Qué versiones de Apache Tomcat están afectadas?
Las versiones afectadas son: 11.0.0-M14 hasta 11.0.25, 10.1.22 hasta 10.1.59 y 9.0.92 hasta 9.0.121.
¿Cómo puedo saber si mi servidor es vulnerable?
Debes comprobar la versión exacta de tu instalación de Apache Tomcat y compararla con los rangos afectados. Si tu versión se encuentra dentro de esos rangos, el servidor es vulnerable.
¿Existe alguna mitigación sin actualizar?
No se han publicado mitigaciones alternativas en las fuentes consultadas. La actualización a las versiones corregidas es la única acción recomendada por el fabricante.
¿Qué versión debo instalar para corregir el problema?
Debes actualizar a Apache Tomcat 11.0.26, 10.1.60 o 9.0.122, según la rama que utilices.
¿Esta vulnerabilidad está siendo explotada activamente?
No se ha publicado información sobre explotación activa en las fuentes consultadas. Sin embargo, dado el alto nivel de criticidad, se recomienda aplicar la actualización con la mayor brevedad posible.
Fuentes oficiales
Para obtener información detallada y confirmar los datos de esta vulnerabilidad, consulta las siguientes fuentes oficiales:
Se recomienda revisar periódicamente estas fuentes para obtener actualizaciones sobre la vulnerabilidad y cualquier información adicional que pueda publicarse.