Poprawka w Apache Tomcat wprowadziła lukę CVE-2026-34486, która pozwala obejść szyfrowanie danych sesji w klastrze. CISA potwierdza ataki, a jej termin minął 7 sierpnia 2026. Zaktualizuj do 11.0.21, 10.1.54 lub 9.0.117.
Ten tekst jest dla zarządów, właścicieli firm i dyrektorów finansowych, w których firmach działają aplikacje oparte na serwerze Apache Tomcat. Werdykt: jeśli używacie Tomcata w wersji 11.0.20, 10.1.53 lub 9.0.116, zaktualizujcie go dziś, bo termin wyznaczony przez CISA minął 7 sierpnia 2026 roku, a podatność jest aktywnie wykorzystywana.
Amerykańska agencja CISA prowadzi katalog KEV, czyli listę podatności, co do których ma dowody, że przestępcy już ich używają. 4 sierpnia 2026 roku trafiła do niego luka CVE-2026-34486 w Apache Tomcat, popularnym serwerze, na którym działają aplikacje internetowe napisane w Javie.
Sedno problemu jest nietypowe: błąd powstał w poprawce na wcześniejszą podatność CVE-2026-29146. Łatka, która miała wzmocnić szyfrowanie, pozwala obejść komponent EncryptInterceptor. To element, który szyfruje dane sesji użytkowników przesyłane między serwerami Tomcata połączonymi w klaster. W efekcie dane, które miały być chronione, mogą zostać ujawnione.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-34486 |
Data dodania do CISA KEV | 4 sierpnia 2026 |
Termin naprawy wg CISA | 7 sierpnia 2026 (termin minął) |
Produkt | Apache Software Foundation, Apache Tomcat (także Tomcat w Red Hat Enterprise Linux i Red Hat JBoss Web Server) |
Wersje zagrożone | 11.0.20, 10.1.53, 9.0.116 (według Apache i NVD) |
Wersje bezpieczne | 11.0.21, 10.1.54, 9.0.117 lub nowsze; w systemach Red Hat pakiety z errat producenta |
Typ podatności | Brak szyfrowania danych wrażliwych, CWE-311 (Apache, CISA); Red Hat klasyfikuje ją jako CWE-807 |
Ocena CVSS | 7,5 na 10 (wysoka), CVSS 3.1: atak przez sieć, bez logowania i bez udziału użytkownika, wysoki wpływ na poufność, brak wpływu na integralność i dostępność |
Warto zauważyć, że wydania 10.1.53 i 9.0.116 to te same wersje, które Apache zalecał jako poprawkę na CVE-2026-29146. Firmy, które sumiennie się zaktualizowały, mogły więc trafić dokładnie na wydanie z nowym błędem.
Wyobraź sobie firmę z dwoma biurami, które przez cały dzień wymieniają się dokumentami klientów. Kurier przewozi je w zamykanych na szyfr teczkach, więc nawet jeśli ktoś zajrzy do samochodu, nic nie przeczyta. Po „ulepszeniu” zamków okazało się, że teczkę da się otworzyć z pominięciem szyfru, a z zewnątrz nadal wygląda na zamkniętą.
Tak działa CVE-2026-34486. Serwery Tomcata w klastrze przekazują sobie dane sesji zalogowanych użytkowników, żeby awaria jednego serwera nie wylogowała klientów. EncryptInterceptor to właśnie ten zamek na teczce. Po błędnej poprawce zabezpieczenie da się obejść, a administratorzy nie widzą żadnego sygnału ostrzegawczego.
💡 Klaster Tomcat to kilka serwerów działających jak jeden. Przekazują sobie dane sesji (np. informację, kto jest zalogowany i co ma w koszyku). EncryptInterceptor to opcjonalny moduł, który szyfruje tę komunikację. Regresja to sytuacja, w której poprawka jednego błędu wprowadza nowy.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przesyłanie danych sesji między serwerami klastra | Dane są szyfrowane przez EncryptInterceptor | Szyfrowanie da się obejść, dane mogą zostać ujawnione |
Osoba z dostępem do sieci, w której pracuje klaster | Widzi tylko zaszyfrowany ruch | Może uzyskać dostęp do danych sesji |
Aktualizacja do wersji z poprawką na CVE-2026-29146 | Zamyka lukę | W gałęziach 10.1 i 9.0 wprowadza nową lukę CVE-2026-34486 |
Pojedynczy Tomcat bez klastra i bez EncryptInterceptor | Brak wpływu | Brak wpływu tej konkretnej luki, ale aktualizacja i tak jest zalecana |
Integralność i dostępność systemu | Bez zmian | Bez zmian według wektora CVSS |
źródło: pexels.comSzczegóły techniczne ataków nie zostały opublikowane. Poniżej opisujemy typowy przebieg ataku dla tej klasy podatności. Warunek jest jeden: atakujący musi mieć dostęp sieciowy do portu, na którym serwery klastra wymieniają dane. W domyślnej konfiguracji klastra z dokumentacji Tomcata jest to pierwszy wolny port z zakresu 4000-4100. Jeśli port jest widoczny z internetu albo przestępca jest już w sieci firmowej, próg wejścia jest niski.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
Rozpoznanie | T+0 min | Automatyczne skanowanie w poszukiwaniu otwartych portów replikacji Tomcata, z internetu lub z wcześniej przejętego komputera w sieci firmy | Lista potencjalnych celów |
Identyfikacja | T+15 min | Ustalenie wersji Tomcata i tego, czy klaster używa EncryptInterceptor | Potwierdzenie, że cel działa na 11.0.20, 10.1.53 lub 9.0.116 |
Obejście szyfrowania | T+1 h | Wykorzystanie błędu w EncryptInterceptor | Komunikacja klastra przestaje być skutecznie chroniona |
Wykorzystanie danych | T+kilka godzin | Odczyt danych sesji przesyłanych między serwerami | Ujawnienie danych zalogowanych użytkowników, możliwe podszywanie się pod nich |
Eskalacja | T+dni | Próba połączenia z CVE-2025-24813 na innych, starszych serwerach Tomcat w tym samym środowisku | Ryzyko wykonania kodu na serwerze i głębszego włamania |
Bezpośrednim skutkiem tej luki jest wyciek danych, a nie wyłączenie systemu. Dla firmy oznacza to przede wszystkim ryzyko prawne i reputacyjne, bo dane sesji często zawierają dane osobowe klientów lub pracowników.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Nieplanowane okno serwisowe, aktualizacja klastra, analiza powłamaniowa | Godziny do kilku dni | 5 do 30 tys. PLN |
Bezpieczeństwo danych | Ujawnienie danych sesji, np. identyfikatorów zalogowanych użytkowników, danych klientów, zawartości koszyków | Od chwili uzyskania dostępu do portu klastra | 20 do 150 tys. PLN (obsługa incydentu, analiza zakresu wycieku) |
Finansowy | Koszt zewnętrznych specjalistów, przestoje w sprzedaży, nadużycia na przejętych kontach | Dni do tygodni | 30 do 200 tys. PLN |
Reputacyjny | Konieczność poinformowania klientów, utrata zaufania, odpływ klientów | Tygodnie do miesięcy | 10 do 100 tys. PLN (komunikacja kryzysowa, rekompensaty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, możliwe postępowanie | 72 godziny od stwierdzenia naruszenia | Kary RODO do 20 mln EUR lub 4% rocznego światowego obrotu; wysokość zależy od skali naruszenia i reakcji firmy |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Wpływ
5 | · · · · ·
4 | · · · ■ · ← WYSOKIE: klaster z EncryptInterceptor na 11.0.20, 10.1.53 lub 9.0.116
3 | · · · · ·
2 | · · · · ·
1 | ○ · · · · ← NISKIE: Tomcat bez klastra (ta luka nie ma zastosowania)
+---------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: dla firm z podatnym klastrem ryzyko jest wysokie, bo CISA potwierdza aktywne ataki, a wskaźnik EPSS jest bardzo wysoki; wpływ oceniamy na 4, a nie 5, bo luka dotyczy poufności danych, bez wpływu na integralność i dostępność.
Apache wydał poprawki 2-4 kwietnia 2026 roku, a Red Hat udostępnił własne pakiety. Aktualizacja jest jedyną potwierdzoną metodą usunięcia luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spis wszystkich instalacji Tomcata, także wbudowanych w aplikacje, obrazy kontenerów i systemy dostawców, wraz z numerem wersji | DZISIAJ | Kierownik IT |
2 | 🔴 NATYCHMIAST | Aktualizacja: 11.0.20 do 11.0.21, 10.1.53 do 10.1.54, 9.0.116 do 9.0.117 (lub nowszych) | DZISIAJ | Administrator serwerów |
3 | 🔴 NATYCHMIAST | Zablokowanie dostępu do portów replikacji klastra dla wszystkich adresów poza serwerami klastra | DZISIAJ | Administrator sieci |
4 | 🟠 PILNIE | Instalacja errat Red Hat dla RHEL i JBoss Web Server (numer pakietu w Red Hat nie odpowiada numeracji Apache) | DO JUTRA | Administrator Linux |
5 | 🟠 PILNIE | Sprawdzenie, czy w środowisku nie działa Tomcat podatny na CVE-2025-24813 (wersje do 11.0.2, 10.1.34, 9.0.98) | DO JUTRA | Zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Przegląd logów i połączeń do portów klastra od dnia wdrożenia podatnej wersji | 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Ocena, czy dane sesji zawierają dane osobowe, i ewentualna procedura RODO | 7 dni | Inspektor ochrony danych |
Producent wydał poprawkę, więc ta sytuacja powinna być wyjątkiem (np. system dostawcy z wbudowanym Tomcatem). Red Hat zaznacza, że nie zna miary łagodzącej, która spełniałaby jego kryteria. Poniższe kroki ograniczają ryzyko, ale nie zastępują aktualizacji. Nie cofaj wersji: wcześniejsze wydania zawierają inne, już naprawione podatności (w gałęziach 10.1 i 9.0 m.in. CVE-2026-29146).
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Reguła zapory: porty replikacji klastra dostępne wyłącznie dla adresów serwerów klastra | Wysoka (ocena ekspercka) | Łatwa |
Przeniesienie ruchu klastra do wydzielonej sieci (VLAN), niedostępnej dla komputerów biurowych i internetu | Wysoka (ocena ekspercka) | Średnia |
Wyłączenie klastrowania, jeśli nie jest niezbędne | Wysoka, usuwa warunek ataku (ocena ekspercka) | Średnia: przy awarii serwera użytkownicy stracą sesje |
Alarm na połączenia do portów klastra z nieznanych adresów | Niska, wykrywa, ale nie blokuje (ocena ekspercka) | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Tomcata | 11.0.20, 10.1.53 lub 9.0.116 | 11.0.21, 10.1.54, 9.0.117 lub nowsza |
Szyfrowanie danych sesji w klastrze | Możliwe do obejścia | Działa zgodnie z przeznaczeniem |
Dostęp do portów klastra | Potencjalnie z całej sieci lub internetu | Tylko serwery klastra |
Wiedza o instalacjach Tomcata | Niepełna | Kompletny spis z wersjami |
Zgodność z zaleceniem CISA | Termin przekroczony | Zalecenie wykonane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA; ocena SSVC: wykorzystanie aktywne, atak możliwy do zautomatyzowania) |
Grupy przestępcze | CISA nie podaje nazwy grupy. W rekordzie NVD CISA dodała odnośnik do raportu SOCRadar o kampanii SNOWLIGHT; jego treść nie była dostępna do weryfikacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7,5 (wysoka) według CISA-ADP i Red Hat; NVD nie wystawiła własnej oceny; Apache i Red Hat określają wagę jako Important |
Wskaźnik EPSS | 0,82933 z 23 sierpnia 2026, wyżej niż około 99,6% ocenianych podatności (FIRST) |
PoC dostępny publicznie? | Brak publicznych informacji o gotowym kodzie ataku; dostępne są skrypty do wykrywania podatnych instalacji |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązane podatności | CVE-2025-24813 (w KEV od 1 kwietnia 2025), z którą według CISA można połączyć tę lukę |
Z zakresów wersji podanych przez Apache wynika, że żadne pojedyncze wydanie Tomcata nie ma obu luk jednocześnie. Łańcuch dotyczy więc środowisk, w których obok siebie działają nowsze i starsze serwery. CISA nie opisała publicznie, jak dokładnie wygląda to połączenie.
2025-04-01: CVE-2025-24813 trafia do katalogu CISA KEV
2026-03-20: wydanie Tomcat 11.0.20 i 9.0.116
2026-03-23: wydanie Tomcat 10.1.53
2026-03-26: zgłoszenie CVE-2026-34486 do zespołu bezpieczeństwa Apache Tomcat
2026-04-02: poprawka w Tomcat 10.1.54
2026-04-03: poprawka w Tomcat 9.0.117
2026-04-04: poprawka w Tomcat 11.0.21
2026-04-09: publikacja CVE-2026-34486 (Apache, NVD)
2026-07-08: Red Hat publikuje erratę RHSA-2026:36788 dla RHEL 10
2026-08-04: wpis do katalogu CISA KEV, potwierdzone aktywne wykorzystanie
2026-08-07: termin naprawy wyznaczony przez CISA
2026-08-10: NVD kończy analizę rekordu
2026-08-23: EPSS 0,82933 (FIRST)
2026-09-17: TUTAJ JESTEŚMY ENISA prowadzi tę podatność w europejskiej bazie pod identyfikatorem EUVD-2026-21056.
Mogę Ci jakoś pomóc?
Oficjalny komunikat Apache z poprawką: lists.apache.org . Opis podatności w bazie NVD: nvd.nist.gov .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Otrzymać listę wszystkich serwerów i aplikacji z Tomcatem oraz ich wersji | CTO / kierownik IT | DZISIAJ |
2 | Potwierdzić, czy którykolwiek działa w klastrze z EncryptInterceptor | Administrator serwerów | DZISIAJ |
3 | Zlecić aktualizację wersji 11.0.20, 10.1.53, 9.0.116 według komunikatu Apache | CTO | DZISIAJ |
4 | Potwierdzić blokadę portów klastra na zaporze | Administrator sieci | DZISIAJ |
5 | Zapytać dostawców oprogramowania, czy ich produkty zawierają podatny Tomcat | Kierownik IT / zakupy | DO JUTRA |
6 | Potwierdzić brak serwerów podatnych na CVE-2025-24813 | Zespół bezpieczeństwa | DO JUTRA |
7 | Zarezerwować budżet na ewentualną analizę powłamaniową | CFO | DO JUTRA |
8 | Ustalić z inspektorem ochrony danych, czy potrzebna jest ocena naruszenia RODO | Zarząd / IOD | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Na ilu serwerach działa Apache Tomcat i w jakich wersjach? | [wersja] | 🔴 |
2 | Czy którykolwiek Tomcat działa w klastrze z włączonym EncryptInterceptor? | TAK / NIE | 🔴 |
3 | Czy wersje 11.0.20, 10.1.53 lub 9.0.116 zostały już zaktualizowane? | TAK / NIE | 🔴 |
4 | Z jakich adresów można połączyć się z portami replikacji klastra? | [odpowiedź] | 🔴 |
5 | Czy korzystamy z Tomcata z Red Hat Enterprise Linux lub JBoss Web Server i czy erraty są zainstalowane? | TAK / NIE | 🟠 |
6 | Czy gdziekolwiek działa starszy Tomcat podatny na CVE-2025-24813? | TAK / NIE | 🟠 |
7 | Czy w logach widać nietypowe połączenia do portów klastra od kwietnia 2026? | TAK / NIE | 🟡 |
CVE-2026-34486 pokazuje, że nawet poprawka bezpieczeństwa może otworzyć nową lukę. Ryzyko dotyczy przede wszystkim firm z klastrem Tomcat w wersji 11.0.20, 10.1.53 lub 9.0.116, ale sprawdzenie wersji na każdym serwerze to zadanie na dziś, bo CISA potwierdza ataki, a jej termin już minął.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.