Apache Tomcat 修复8个漏洞，部分达严重级别
Apache 软件基金会披露 Tomcat 9、10、11 共 8 个漏洞，其中含 CVSS 3.1 评分 9.1 的严重问题，已在新版本中修复。
Apache 软件基金会于 2026 年 10 月 20 日披露了影响 Apache Tomcat 9、10 和 11 版本的 8 个安全漏洞，其中包含被评为严重（CRITICAL）级别的问题，CVSS 3.1 最高评分为 9.1。据 forest.watch.impress.co.jp 报道，这些漏洞已通过更新至 Apache Tomcat 9.0.123、10.1.61 或 11.0.27 版本得到修复。
披露的漏洞中，CVE-2026-101356 涉及异步处理过程中出现错误后导致的 HTTP/2 请求与响应错配，影响 Tomcat 11.0.22 至 11.0.26、10.1.55 至 10.1.60 以及 9.0.118 至 9.0.122 版本。
另一个漏洞 CVE-2026-101296 涉及 JNDIRealm 绑定凭据验证在非 GSSAPI SASL 机制下失败开放的问题，影响范围包括 Tomcat 11.0.0-M1 至 11.0.26、10.1.0-M1 至 10.1.60 以及 9.0.0.M1 至 9.0.122 版本。
此外，CVE-2026-103119 涉及 AJP 响应错配，仅影响 Tomcat 11.0.0-M25 至 11.0.26 版本。
9.0 系列支持期限临近
Apache Tomcat 9.0 系列将于 2027 年 3 月 31 日结束支持。在此之前，使用该系列的用户仍可通过更新至 9.0.123 版本修复上述漏洞。Apache Tomcat 9.0.123、10.1.61 和 11.0.27 版本已于 2026 年 10 月 12 日发布。
快速问答
哪些 Apache Tomcat 版本受这些漏洞影响？
影响 Tomcat 9、10 和 11 的多个版本，具体范围因 CVE 而异，例如 CVE-2026-101356 影响 11.0.22 至 11.0.26、10.1.55 至 10.1.60 和 9.0.118 至 9.0.122。
如何修复这些漏洞？
更新至 Apache Tomcat 9.0.123、10.1.61 或 11.0.27 版本即可修复。
Apache Tomcat 9.0 何时结束支持？
Apache Tomcat 9.0 系列将于 2027 年 3 月 31 日结束支持。