CVE-2026-41293: Apache Tomcat: cabeçalhos de requisições HTTP/2 sem validação

Visão geral

O registro descreve uma fraqueza de validação de entrada imprópria (CWE-20) no Apache Tomcat relacionada aos cabeçalhos de requisições HTTP/2. A CNA e o CISA ADP registram pontuação base CVSS de 9.8. O registro não explica a mecânica exata da falha, e esta análise não tenta acrescentá-la.

Impacto

A validação imprópria de entrada pode fazer com que dados não confiáveis da requisição sejam processados de forma inesperada pelo servidor.
A pontuação no registro indica alto impacto na confidencialidade, integridade e disponibilidade, sem exigir privilégios nem interação do usuário por parte de um atacante remoto.
Os campos SSVC do registro indicam impacto técnico total e automatizável como sim. São saídas de modelos de pontuação, não ataques observados.

Produtos e versões afetadas

O texto do aviso cita estas faixas para o Apache Software Foundation Tomcat:

da 11.0.0-M1 até a 11.0.21
da 10.1.0-M1 até a 10.1.54
da 9.0.0.M1 até a 9.0.117
da 10.0.0-M1 até a 10.0.27

O aviso também informa que versões antigas, fora de suporte, podem ser afetadas. Os dados estruturados de faixa são mais amplos e incluem 8.5.0 até 8.5.100, além de faixas que terminam antes de 9.0.118, antes de 10.1.55 e antes de 11.0.22. O registro não diz quais desses limites são as versões corrigidas.

Status de exploração

A entrada no catálogo KEV do registro não está listada.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
A probabilidade EPSS no registro é 0.0168, com percentil de 0.76776. São estimativas preditivas, não evidência de ataques.

Correção e mitigação

Revise o aviso da Apache indicado abaixo e identifique a versão corrigida de cada linha de release que você utiliza.
Atualize as instalações afetadas do Tomcat para uma release suportada que o fornecedor liste como corrigida. Não dependa do texto de marcação presente na descrição do aviso.
Desative ramos do Tomcat fora de suporte, pois o aviso indica que também podem ser afetados.
Quando a aplicação de correções for adiada, reduza a exposição de conectores com HTTP/2 a redes não confiáveis e avalie se um proxy reverso ou balanceador normaliza os cabeçalhos recebidos.

Orientação para detecção

Mantenha um inventário das versões do Tomcat e de quais conectores têm HTTP/2 habilitado.
Monitore requisições HTTP/2 malformadas ou incomuns e picos de erro na camada da aplicação ou do proxy.
Correlacione esses alertas com o inventário de ativos para priorizar servidores expostos à internet.

Limitações das informações disponíveis

A descrição do registro contém um marcador não resolvido no lugar de um número de versão corrigida, e a lista de correções está vazia.
Os limites estruturados 9.0.118, 10.1.55 e 11.0.22 são compatíveis com as próximas releases de cada linha, mas o registro não os confirma como correções.
O registro não descreve o caminho de ataque, as condições necessárias nem as consequências observadas, além do vetor de pontuação e do CWE.
O status de exploração baseia-se apenas nos campos KEV e SSVC e nas fontes consultadas.

Perguntas frequentes

A CVE-2026-41293 está sendo explorada ativamente?

O registro mostra que a vulnerabilidade não está listada no KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS no registro é 0.0168.

Quais versões do Apache Tomcat são afetadas?

O aviso cita da 11.0.0-M1 até a 11.0.21, da 10.1.0-M1 até a 10.1.54, da 9.0.0.M1 até a 9.0.117 e da 10.0.0-M1 até a 10.0.27, além de informar que versões antigas fora de suporte também podem ser afetadas.

Para qual versão devo atualizar?

O registro não confirma uma versão corrigida, pois o texto do aviso contém um marcador não resolvido e a lista de correções está vazia. Consulte o aviso na lista de discussão da Apache e use a release corrigida indicada para a sua linha de versão.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.