아파치 톰캣, 8개 취약점 공개…9.0.123·10.1.61·11.0.27로 수정

아파치 소프트웨어 재단이 아파치 톰캣 9, 10, 11 버전에 영향을 주는 취약점 8건을 공개했다. 재단에 따르면 이 중에는 CVSS 3.1 기준 최대 9.1점으로 평가된 CRITICAL 등급 취약점도 포함됐다.

취약점은 아파치 톰캣 9.0.123, 10.1.61, 11.0.27로 업데이트하면 해결된다. 이 세 버전은 10월 12일 공개됐으며, 재단은 해당 버전으로의 업데이트를 안내하고 있다.

HTTP/2·AJP 응답 혼선 등 주요 취약점

세부 내역도 함께 공개됐다. CVE-2026-101356은 비동기 처리 중 오류가 발생한 뒤 HTTP/2 요청과 응답이 뒤섞이는 문제로, 톰캣 11.0.22~11.0.26, 10.1.55~10.1.60, 9.0.118~9.0.122 버전이 해당된다.

CVE-2026-101296은 GSSAPI가 아닌 SASL 메커니즘에서 JNDIRealm 바인드 자격 증명 검증이 실패 시 허용으로 처리되는 문제다. 톰캣 11.0.0-M1~11.0.26, 10.1.0-M1~10.1.60, 9.0.0.M1~9.0.122가 영향을 받는다.

CVE-2026-103119는 AJP 응답 혼선 문제로, 톰캣 11.0.0-M25~11.0.26에만 해당된다. 한편 톰캣 9.0 라인의 지원은 2027년 3월 31일 종료된다.