Sicherheitslücke in Apache Tomcat ermöglicht Umgehung der Verschlüsselung (CVE-2026-34486)
Eine kritische Sicherheitslücke (CVE-2026-34486) wurde in Apache Tomcat entdeckt. Diese Schwachstelle betrifft die Verschlüsselung sensibler Daten.
Was ist passiert?
Eine kritische Sicherheitslücke (CVE-2026-34486) wurde in Apache Tomcat entdeckt. Diese Schwachstelle betrifft die Verschlüsselung sensibler Daten. Ein zuvor implementierter Fix für eine andere Lücke (CVE-2026-29146) ermöglicht es, den sogenannten EncryptInterceptor zu umgehen, der eigentlich für die Datenverschlüsselung zuständig ist.
Wer ist betroffen?
Betroffen sind Unternehmen, die Apache Tomcat in den Versionen 11.0.20, 10.1.53 oder 9.0.116 einsetzen. Apache Tomcat ist eine weit verbreitete Software, die oft für den Betrieb von Webanwendungen und Servern genutzt wird.
Wie kritisch ist es?
Die Kritikalität dieser Lücke wird als hoch eingestuft, mit einem CVSS-Score von 7.5. Der CVSS-Score (Common Vulnerability Scoring System) bewertet die Schwere von Sicherheitslücken. Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage liegt bei 43 % (EPSS – Exploit Prediction Scoring System). Besonders besorgniserregend ist, dass diese Schwachstelle laut CISA KEV (Known Exploited Vulnerabilities) bereits aktiv ausgenutzt wird und dort seit dem 3. August 2026 gelistet ist. Dies bedeutet, dass Angreifer diese Lücke bereits aktiv für ihre Zwecke missbrauchen.
Was ist jetzt zu tun?
Es wird dringend empfohlen, die betroffenen Apache Tomcat Installationen umgehend zu aktualisieren. Für Version 11.0.20 ist ein Upgrade auf 11.0.21 erforderlich, für 10.1.53 auf 10.1.54 und für 9.0.116 auf 9.0.117. Diese Updates beheben die Sicherheitslücke und stellen die korrekte Verschlüsselung sensibler Daten wieder her.
Quellen: NVD (CVE-2026-34486), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.