Apache Software Foundation đã phát hành Tomcat 11.0.26 để khắc phục 12 lỗ hổng bảo mật liên quan đến WebSocket, HTTP/2, AJP, xác thực và kiểm tra chứng chỉ TLS.
Tổng quan về các lỗ hổng bảo mật trong Apache Tomcat 11.0.26
Các lỗ hổng này, được công bố vào ngày 23 tháng 9 năm 2026, bao gồm bốn lỗ hổng được xếp loại Important, ba lỗ hổng Moderate và năm lỗ hổng Low. Điều này đặt ra một nhiệm vụ cập nhật bản vá khẩn cấp và rộng rãi cho các quản trị viên trên các máy chủ ứng dụng Java tiếp xúc với Internet.
Hầu hết các triển khai Tomcat 11 hiện có đều có nguy cơ bị ảnh hưởng. Nhiều vấn đề ảnh hưởng đến các phiên bản từ 11.0.0-M1 đến 11.0.25, trong khi các lỗ hổng hẹp hơn bắt đầu từ 11.0.0-M5, 11.0.0-M14, 11.0.19 hoặc 11.0.22.
Apache không cung cấp các bản vá nhị phân cho từng lỗ hổng bảo mật mà khuyến nghị người dùng cài đặt một bản phát hành chứa các bản sửa lỗi. Do đó, 11.0.26 trở thành đường cơ sở khắc phục thực tế.
Lỗ hổng nghiêm trọng trong WebSocket và HTTP/2
Lỗ hổng WebSocket nổi bật, được định danh là CVE-2026-87022, xuất phát từ việc xử lý không đúng tham số độ dài khi bật tính năng nén per-message-deflate. Kẻ tấn công có thể khai thác sự khác biệt này để gửi lén các thông điệp WebSocket. Tất cả các bản phát hành từ 11.0.0-M1 đến 11.0.25 đều bị ảnh hưởng.
Một vấn đề HTTP/2 có mức độ ưu tiên cao hơn, CVE-2026-86350, là một lỗi hồi quy được giới thiệu trong quá trình sửa lỗi CVE-2026-41293. Việc diễn giải yêu cầu không nhất quán có thể dẫn đến việc các header bị gán sai, tạo ra sự nhầm lẫn về header yêu cầu trong các phiên bản từ 11.0.22 đến 11.0.25.
Các lỗi liên quan đến HTTP/2 bao gồm CVE-2026-78437, nơi một yêu cầu bị định dạng sai có thể làm cho yêu cầu của người dùng khác thất bại, và CVE-2026-77762, một điều kiện tranh chấp (race condition) có thể chèn các trường trailer vào một yêu cầu được tái sử dụng từ pool.
Các rủi ro về tính khả dụng và lỗi AJP
Các rủi ro về tính khả dụng nổi bật. CVE-2026-78383 có thể làm treo một luồng xử lý AJP khi không có thân yêu cầu (request body), trong khi CVE-2026-77791 cho phép từ chối dịch vụ (Denial of Service) thông qua việc bận rộn chờ đợi (busy wait) khi gửi một thông báo đóng WebSocket.
CVE-2026-79677 có thể làm mất các timeout ghi WebSocket không đồng bộ do lỗi đồng thời, khiến các hoạt động có thể tiêu tốn tài nguyên vô thời hạn.
Bản cập nhật cũng đóng các lỗ hổng khác như CVE-2026-76183, một lỗ hổng nghiêm trọng cho phép bỏ qua xác thực WebSocket do phân tích cú pháp đường dẫn yêu cầu như các mẫu điểm cuối. CVE-2026-75973 có thể tái sử dụng realm của ứng dụng đầu tiên trên nhiều ứng dụng bằng cách sử dụng SimpleAuthConfigProvider mặc định của Jakarta Authentication.
Thêm vào đó, CVE-2026-77756 có thể làm gián đoạn yêu cầu của người dùng khác bằng cách tôn trọng Transfer-Encoding trong lưu lượng HTTP/1.0 phía sau một reverse proxy.
Sửa lỗi kiểm tra chứng chỉ và xác thực
Việc kiểm tra chứng chỉ nhận được hai bản sửa lỗi đáng chú ý. CVE-2026-86248 giải quyết một bản sửa lỗi OCSP chưa hoàn chỉnh trước đó có thể cho phép xác thực CLIENT_CERT thành công khi soft-fail bị vô hiệu hóa trong triển khai FFM.
CVE-2026-73581 sửa lỗi hành vi của OpenSSL và OpenSSL-FFM đã bỏ qua các danh sách thu hồi chứng chỉ (CRL) khi chứng chỉ được lưu trữ trong keystore.
Khuyến nghị bảo mật cho quản trị viên
Quản trị viên nên kiểm kê mọi phiên bản Tomcat 11, ưu tiên các đầu nối WebSocket, HTTP/2 và AJP có thể truy cập từ bên ngoài, và nâng cấp lên 11.0.26 sau khi kiểm tra khả năng tương thích của ứng dụng.
Họ cũng nên xác minh các tạo tác đã tải xuống bằng cách sử dụng chữ ký OpenPGP hoặc checksum SHA-512 của Apache, xem xét lại cấu hình reverse-proxy và xác thực, và theo dõi các dấu hiệu bất thường như cạn kiệt kết nối, sự cố header giữa các yêu cầu, hoặc lỗi xác thực.
Vì một số lỗi liên quan đến điều kiện tranh chấp và trạng thái kết nối dùng chung, việc khai thác thành công có thể không liên tục. Điều này làm cho việc kiểm tra hồi quy có kiểm soát và đo từ xa liên tục trở nên đặc biệt quan trọng sau khi triển khai khẩn cấp trên các cụm.
Sau khi triển khai, hãy khởi động lại và xác nhận phiên bản đang chạy. Các giải pháp tạm thời chỉ dựa trên cấu hình không cung cấp mức độ bảo vệ tương đương cho bản phát hành bảo mật đa thành phần này. Để biết thêm chi tiết về các lỗ hổng đã được sửa, vui lòng tham khảo thông báo bảo mật chính thức của Apache Tomcat.
