SecBoard
Zurück zur Übersicht
Mittel25 / 100Konfidenz: Mittel
CVSS8.1EPSS0.6 %Über Netz erreichbarOhne AnmeldungOhne Zutun des Nutzers

Installieren Sie umgehend die vom Hersteller bereitgestellten Sicherheitsupdates für Apache Tomcat.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

  • Hoechster CVSS-Basiswert 8.1+15
  • Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-101296, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

  • Zwei unabhaengige Herausgeber berichten den Sachverhalt
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

  • Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
  • 2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2026-101356, CVE-2026-103119

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

Multiples vulnérabilités dans Apache Tomcat (21 octobre 2026)

CERT-FR·
Originalartikel lesen bei CERT-FR

Mehrere Schwachstellen wurden in Apache Tomcat entdeckt, die Angreifern ermöglichen, die Vertraulichkeit von Daten zu gefährden und Sicherheitsrichtlinien zu umgehen. Nutzer sollten umgehend die vom Hersteller bereitgestellten Sicherheitsupdates installieren, um diese Risiken zu minimieren.

SecBoard-Einordnung

Realistisch schlimmster Fall: Der schlimmste Fall ist die vollständige Kompromittierung der Vertraulichkeit von Daten und die Umgehung von Sicherheitsrichtlinien durch einen Angreifer.

Im erfassten Bestand

  • ▸CVE-2026-65183 kommt damit in 4 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-101296
CVSS
8.1 · HIGH
EPSS
0.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@apache.org
CVE-2026-65183
CVSS
8.1 · HIGH
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@apache.org
CVE-2026-80353
CVSS
8.1 · HIGH
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@apache.org
CVE-2026-93446
CVSS
7.5 · HIGH
EPSS
0.6%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
security@apache.org
CVE-2026-88041
CVSS
7.5 · HIGH
EPSS
0.5%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit
Patch
unbekannt
Zuweisende CNA
security@apache.org
CVE-2026-74048
CVSS
6.5 · MEDIUM
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit
Patch
unbekannt
Zuweisende CNA
security@apache.org
CVE-2026-74049
CVSS
6.1 · MEDIUM
EPSS
0.4%
Über das Netz
ja
Anmeldung nötig
nein
Nutzerinteraktion nötig
ja
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität
Patch
unbekannt
Zuweisende CNA
security@apache.org
CVE-2026-101356

Im Text genannt, liegt uns aber noch nicht vor.

CVE-2026-103119

Im Text genannt, liegt uns aber noch nicht vor.

Betroffen

Nutzer von Apache Tomcat sind betroffen.

Hersteller

Apache

Produkte

Tomcat
▸ CPE-Rohbezeichner anzeigen (1)
  • cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob alle Apache Tomcat Instanzen auf die neueste, gepatchte Version aktualisiert wurden.
  • ▸Überprüfen Sie die Protokolle auf Anzeichen von unbefugtem Zugriff oder ungewöhnlichem Verhalten auf Apache Tomcat Servern.
▸ 1 weitere
  • ▸Stellen Sie sicher, dass Sicherheitsrichtlinien und Zugriffskontrollen auf Apache Tomcat Servern korrekt implementiert und erzwungen werden.

Offene Punkte

3
▸ anzeigen
  • ▸Die spezifischen CVE-IDs der Schwachstellen sind nicht angegeben.
  • ▸Die genauen Auswirkungen der 'unspecified security issues' sind nicht detailliert.
  • ▸Es werden keine Informationen über die Art der Angreifer oder die Angriffsmethoden bereitgestellt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Unklar
  • Exploit öffentlich verfügbar?Möglich
  • Detection / Logging prüfbar?Möglich
  • Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

  • Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1190Exploit Public-Facing Applicationzugeordnet

„Mehrere Schwachstellen wurden in Apache Tomcat entdeckt, die Angreifern ermöglichen...“

T1562Impair Defenseszugeordnet

„...Sicherheitsrichtlinien zu umgehen.“

T1565Data Manipulationzugeordnet

„...die Vertraulichkeit von Daten zu gefährden...“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. CERT-FRKontext
    Multiples vulnérabilités dans Juniper Networks Session Smart Router (19 octobre 2026)
  2. The Hacker NewsKontext
    URGENT - PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches

Der Vorgang wird seit 4 Tagen berichtet.

Quellen & Belege· 2 unterschiedliche Quellen

The Hacker NewsKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

CERT-FRKontextUNKNOWNdiese Meldung

Quelle nicht eingeordnet.

  • Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
  • Mindestens eine Quelle ist noch nicht nach Herkunftsklasse eingeordnet.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei CERT-FR