Résumé
Le 17 février 2026, la CISA (Agence de cybersécurité et de sécurité des infrastructures) a averti d’une faille de sécurité dans Apache Tomcat, un serveur web utilisé par de nombreuses applications. Cette vulnérabilité, référencée CVE-2026-34486, concerne une absence de chiffrement de données sensibles et permet de contourner EncryptInterceptor.
Concrètement, des données qui devraient rester protégées peuvent être transmises sans chiffrement dans certains échanges internes de cluster Tomcat, ce qui peut exposer des informations sensibles.
Solutions
Il est recommandé d’appliquer les correctifs indiqués par Apache.
La faille est activement exploitée : Oui.
Details techniques
Score CVSS : 7.5
EPSS : 42.63%
Systèmes affectés
• Apache Tomcat : 11.0.20
• Apache Tomcat : 10.1.53
• Apache Tomcat : 9.0.116
Documentation
Référence :
https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly
Nist Details CVE
https://nvd.nist.gov/vuln/detail/CVE-2026-34486
CVE Details
https://www.cvedetails.com/cve/CVE-2026-34486/
Reference CVE
https://www.cve.org/CVERecord?id=CVE-2026-34486