Apache Tomcat ekibi, 20 Ekim 2026’da Tomcat 11.0.27, 10.1.61 ve 9.0.123 sürümlerinde düzeltilen güvenlik açıklarını kamuya açıkladı. Tomcat 11 için yedi açık listeleniyor; bunların üçü Tomcat’in kendi derecelendirmesine göre “önemli” (Important), dördü “düşük” (Low) dereceli. Sayfada CVSS puanı verilmiyor. Duyuruda istismar bilgisi yok. Tomcat 9 için bu yediye ek olarak bir düşük dereceli açık daha var (aşağıda).
Ne oldu
Tomcat’in güvenlik sayfasına göre en dikkat çeken açık CVE-2026-101296: JNDI realm, GSSAPI dışında bir SASL kimlik doğrulama yöntemiyle yapılandırıldığında, kimlik doğrulamadaki eksik bir adım saldırganların doğru parolayı vermeden kimlik doğrulayabilmesine yol açıyor. Açığın başlığına göre bu durumda bağlantı (bind) kimlik bilgisinin doğrulaması başarısız olduğunda erişim kapanmıyor, açık kalıyor.
İkinci önemli açık CVE-2026-101356, HTTP/2 üzerinden çalışan asenkron servlet’lerde nesnelerin hatalı geri dönüştürülüp yeniden kullanılmasından kaynaklanıyor ve kullanıcılar arasında istek ya da yanıt karışmasına neden olabiliyor. Yalnız Tomcat 11’i etkileyen CVE-2026-103119 ise AJP bağlantısında: sayfaya göre büyük bir engellemesiz yazma işleminde yanıt gövdesi o bağlantıdaki bir sonraki isteğe bölünebiliyor. Bu durum büyük olasılıkla ikinci isteğin başarısız olmasına, olasılıkla da ilk yanıttaki verinin ikinci yanıta sızmasına yol açabiliyor.
Düşük dereceli açıklar TLS 1.3 bağlantı hataları, HTTP/2 sonlandırıcı (trailer) başlıklarının karışması, Jasper JSTL yönlendirmesi ve OpenSSL-FFM FIPS hatasıyla ilgili. Tomcat 9.0.123 ayrıca Unix alan soketi izinlerinde denetim ile kullanım arasındaki zaman farkından (TOCTOU) kaynaklanan düşük dereceli bir açığı (CVE-2026-80353) kapatıyor; sayfaya göre önceki CVE-2026-65183 düzeltmesi APR bağlayıcısını kapsamıyordu. Bu açık 9.0.47 ile 9.0.122 arasını etkiliyor.
Kimleri etkiler
JNDIRealm açığı Tomcat 11.0.0-M1 ile 11.0.26, 10.1.0-M1 ile 10.1.60 ve 9.0.0.M1 ile 9.0.122 arasındaki sürümleri, ancak JNDI realm GSSAPI dışında bir SASL yöntemiyle yapılandırıldığında etkiliyor. HTTP/2 açığı 11.0.22–11.0.26, 10.1.55–10.1.60 ve 9.0.118–9.0.122 sürümlerinde bulunuyor. AJP açığı yalnız 11.0.0-M25 ile 11.0.26 arasını etkiliyor; 10.1 ve 9.0 sayfalarında bu açık yer almıyor. Bu nedenle 10.1.61 ve 9.0.123’te önemli dereceli açık sayısı ikide kalıyor (CVE-2026-101356 ve CVE-2026-101296).
Üretici ne öneriyor
Tomcat ekibi açıkların Tomcat 11.0.27, 10.1.61 ve 9.0.123 sürümlerinde düzeltildiğini bildiriyor. Açıklar Tomcat güvenlik ekibine 14 ve 16 Eylül 2026’da bildirilmiş; sayfada bildirenin adı yer almıyor.
Tomcat 11 güvenlik sayfası yan sütundaki bağlantıda; 10.1 ve 9.0 sürümleri için Tomcat 10 ve Tomcat 9 sayfalarına bakılabilir.
