CVE-2026-76183: Błąd obejścia uwierzytelniania w Apache Tomcat dla WebSocket

Co wiadomo

W Apache Tomcat wykryto krytyczną lukę pozwalającą na obejście zabezpieczeń uwierzytelniania dla dowolnego punktu końcowego WebSocket. Luka dotyczy wielu wersji Tomcat, w tym wersji wspieranych i nieobsługiwanych.

Wpływ biznesowy

Luka umożliwia atakującemu ominięcie ograniczeń bezpieczeństwa WebSocket, co może prowadzić do nieautoryzowanego dostępu i potencjalnego przejęcia kontroli nad aplikacją webową. Operatorzy infrastruktury powinni potraktować tę podatność jako krytyczną, zwłaszcza w środowiskach korzystających z WebSocketów w Apache Tomcat.

Rekomendowane działania administratora

Zaleca się niezwłoczne przeprowadzenie aktualizacji Apache Tomcat do wersji 11.0.26, 10.1.60 lub 9.0.122, które zawierają poprawkę usuwającą tę lukę. W przypadku niemożności szybkiej aktualizacji należy ograniczyć ekspozycję usług WebSocket, monitorować logi pod kątem podejrzanych aktywności oraz zweryfikować konfigurację zabezpieczeń. DataHouse wspiera weryfikację wersji oprogramowania oraz zarządzanie aktualizacjami w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference