Apache Tomcat corrige una vulnerabilidad crítica que puede mezclar respuestas entre peticiones y filtrar datos
Una vulnerabilidad crítica en Apache Tomcat (CVE-2026-103119, CVSS 9.1) puede hacer que parte de una respuesta acabe en la siguiente petición de la misma conexión, con riesgo de fallos y de filtración de datos. Afecta a las versiones 11.0.0-M25 a 11.0.26 y se corrige en la 11.0.27.
Qué ha pasado
Hoy, 20 de octubre de 2026, se ha publicado CVE-2026-103119, una vulnerabilidad de tipo buffer under-read (lectura por debajo de los límites del búfer) en Apache Tomcat, el conocido servidor de aplicaciones Java. Según la descripción recogida en NVD, cuando el servidor realiza una escritura no bloqueante de gran tamaño, el cuerpo de la respuesta puede quedar dividido entre la petición en curso y la siguiente que se reciba por esa misma conexión.
La consecuencia más probable es que esa segunda petición falle. Sin embargo, también es posible que datos de la primera respuesta se filtren a la segunda, de modo que información destinada a una petición acabe entregada en otra.
La vulnerabilidad tiene una puntuación CVSS 9.1 (crítica). Su vector indica que puede aprovecharse a través de la red, sin autenticar y sin interacción del usuario, con impacto alto en la confidencialidad y en la disponibilidad, aunque no en la integridad de los datos.
A quién afecta
Según los datos publicados, el fallo afecta a las instalaciones de Apache Tomcat de la rama 11.0 comprendidas en el siguiente rango. La información disponible solo menciona esta rama; no se ha detallado si otras ramas de Tomcat se ven afectadas.
Conviene tener en cuenta que Tomcat no solo se instala de forma independiente: muchas aplicaciones y productos de terceros lo incluyen embebido, por lo que puede estar presente en sistemas donde no figura como tal en el inventario.
- Afectadas: Apache Tomcat desde la versión 11.0.0-M25 hasta la 11.0.26, ambas incluidas.
- Corregida: Apache Tomcat 11.0.27.
Estado de la explotación
Por ahora no consta explotación activa: CVE-2026-103119 no figura en el catálogo KEV de CISA. Aun así, la puntuación crítica y el hecho de que no requiera credenciales ni interacción del usuario aconsejan no demorar la actualización, sobre todo en servidores expuestos a Internet.
Qué hacer
La recomendación oficial es actualizar a la versión 11.0.27, que corrige el fallo. Los datos publicados no detallan mitigaciones alternativas a la actualización, por lo que parchear es la vía principal.
- Inventariar los servidores con Apache Tomcat 11.0 y comprobar qué versión ejecutan.
- Actualizar a Apache Tomcat 11.0.27 cualquier instalación entre 11.0.0-M25 y 11.0.26.
- Priorizar los servidores accesibles desde Internet o que atienden a un gran número de usuarios.
- Revisar las aplicaciones y productos de terceros que incluyan Tomcat embebido y consultar a sus proveedores si han publicado versiones actualizadas.
- Mientras se completa la actualización, vigilar errores anómalos en las respuestas o peticiones fallidas sin causa aparente en los registros del servidor.
Tecnologías afectadas
Vulnerabilidades (1)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-103119 | Crítica (9.1) | — | 20/10/2026 | Recibida |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.