Résumé
Le 20 décembre 2024, une faille critique (notée 9,8/10) a été découverte dans Apache Tomcat, une plateforme couramment utilisée pour héberger des applications web. Cette vulnérabilité, classée CVE-2024-56337, exploite une faille de type "Time-of-check / Time-of-use" (TOCTOU). Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées, ce qui signifie qu’elle pourrait être utilisée par des attaquants pour prendre le contrôle d’un serveur Tomcat mal configuré.
Solutions
Les développeurs d’Apache Tomcat ont publié des mises à jour pour corriger cette faille. Il est urgent de mettre à jour votre version vers une version sécurisée (ex. : Tomcat 11.0.3, 10.1.35 ou 9.0.99 et plus) ou appliquer les correctifs recommandés pour les versions affectées.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 9.8/10
EPSS : 8.97%
Référencée comme KEV : Oui
Code d exploitation disponible : Non
Date d’ajout au KEV : 15/10/2026
Systèmes affectés
• Apache Tomcat 11.0.0-M1 à 11.0.1
• Apache Tomcat 10.1.0-M1 à 10.1.33
• Apache Tomcat 9.0.0.M1 à 9.0.97
• Apache Tomcat 8.5.0 à 8.5.100 (et versions plus anciennes hors support)
Documentation
• NIST NVD