Apache تكشف عن 8 ثغرات في Tomcat بينها حرجة
الإصدارات 9.0.123 و10.1.61 و11.0.27 تضم الإصلاحات، وخط دعم Tomcat 9.0 ينتهي في 31 مارس 2027.
كشفت مؤسسة The Apache Software Foundation عن 8 ثغرات أمنية تؤثر على إصدارات Apache Tomcat 9 و10 و11، بينها ثغرات مصنّفة بالغة الخطورة (CRITICAL) بدرجة قصوى 9.1 على مقياس CVSS 3.1. وأوردت منصة forest.watch.impress.co.jp تفاصيل الكشف، التي حملت تاريخ 20 أكتوبر 2026.
من أبرز الثغرات CVE-2026-101356، وتتعلق بخلط بين الطلب والاستجابة في بروتوكول HTTP/2 بعد خطأ أثناء المعالجة غير المتزامنة. وتؤثر هذه الثغرة على Tomcat 11.0.22 حتى 11.0.26، و10.1.55 حتى 10.1.60، و9.0.118 حتى 9.0.122.
وتشمل القائمة أيضاً CVE-2026-101296، وهي تتعلق بفشل التحقق من بيانات اعتماد الربط في JNDIRealm لدى آليات SASL غير المعتمدة على GSSAPI، وتؤثر على Tomcat 11.0.0-M1 حتى 11.0.26، و10.1.0-M1 حتى 10.1.60، و9.0.0.M1 حتى 9.0.122. أما CVE-2026-103119 فتخص خلطاً في استجابة AJP، وتقتصر على Tomcat 11.0.0-M25 حتى 11.0.26.
وكانت المؤسسة قد أصدرت في 12 أكتوبر 2026 الإصدارات Apache Tomcat 9.0.123 و10.1.61 و11.0.27، وهي الإصدارات التي تتضمن معالجات هذه الثغرات.
ويصل خط دعم Apache Tomcat 9.0 إلى نهايته في 31 مارس 2027، ما يجعل الترقية إلى الإصدارات المحدثة مسألة ذات أولوية للمشغلين الذين ما زالوا يعتمدون على هذا الخط.
أسئلة سريعة
ما الإصدارات التي تعالج الثغرات الثماني في Apache Tomcat؟
الإصدارات Apache Tomcat 9.0.123 و10.1.61 و11.0.27.
ما أعلى درجة خطورة بين الثغرات المعلنة؟
ثمة ثغرات مصنّفة بالغة الخطورة (CRITICAL) بدرجة قصوى 9.1 على مقياس CVSS 3.1.
متى ينتهي دعم Apache Tomcat 9.0؟
في 31 مارس 2027.