Exploitation active Catalogue KEV Sans authentification

CVE-2026-34486

Apache Tomcat Missing Encryption of Sensitive Data Vulnerability

Missing Encryption of Sensitive Data vulnerability in Apache Tomcat due to the fix for CVE-2026-29146 allowing the bypass of the EncryptInterceptor. This issue affects Apache Tomcat: 11.0.20, 10.1.53, 9.0.116. Users are recommended to…

Indice de priorité CheckOps

8,4/10 Corriger sous 24 h

Gravité7,5

Probabilité9,9

Exploitation4/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 98,5 % plus haute que 99,9 % des CVE

CVSS 3.1 7,5 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:

Exploitée depuis 91 jours 04/08/2026

Échéance CISA 07/08/2026 pour les agences fédérales américaines

Probabilité d’exploitation EPSS · FIRST

Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 4 / 5

Catalogue KEV (CISA)04/08/2026
EUVD exploitée (ENISA)04/08/2026
Utilisée par des rançongicielsnon
EPSS au-dessus de 10 %98,5 %
Sans compte, par le réseauoui

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

Consigne de la CISA : Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Description ENISA EUVD

Texte de la source, en anglais.

Produits touchés

Apache TomcatTomcat

Versions touchées

11.0.20
9.0.116
10.1.53

Faiblesses (CWE)

CWE-311

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

09/04/2026
Publication
04/08/2026
Exploitation signalée (ENISA)
04/08/2026
Ajout au catalogue KEV
07/08/2026
Échéance de correction CISA
25/10/2026
EPSS au plus haut : 98,5 %

Références

Autres failles exploitées du même éditeur

CVE-2016-3081Apache Struts Command Injection Vulnerability
8,5 · Montée rapide
CVE-2026-34197Apache ActiveMQ Improper Input Validation Vulnerability
8,3 · Exploitation de fond
CVE-2024-38475Apache HTTP Server Improper Escaping of Output Vulnerability
9,0 · Exploitation de fond
CVE-2025-24813Apache Tomcat Path Equivalence Vulnerability
9,4 · Exploitation de fond
CVE-2024-45195Apache OFBiz Forced Browsing Vulnerability
9,3 · Exploitation de fond
CVE-2024-27348Apache HugeGraph-Server Improper Access Control Vulnerability
9,3 · Exploitation de fond