-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

CAIS-Alerta 02/09/2026: Vulnerabilidade no Apache Tomcat permite bypass do EncryptInterceptor

Prezados(as),

O CAIS alerta a comunidade de segurança cibernética para vulnerabilidade no Apache Tomcat, identificada como CVE-2026-34486, que pode permitir o bypass do EncryptInterceptor em versões vulneráveis, afetando a proteção de dados sensíveis em ambientes que utilizem esse recurso.

1. Produtos afetados;
2. Identificadores CVE (http://cve.mitre.org);
3. Descrição das vulnerabilidades;
4. Mitigação e correções disponíveis; e
5. Mais Informações.

1. Produtos afetados:

* Apache Tomcat 11.0.20;
* Apache Tomcat 10.1.53;
* Apache Tomcat 9.0.116;
* Ambientes que utilizem o EncryptInterceptor do Apache Tomcat devem ser avaliados com prioridade;
* Ambientes de cluster, replicação de sessão ou comunicação entre nós Tomcat que dependam do EncryptInterceptor podem estar expostos caso utilizem versões vulneráveis;
* Componentes, bibliotecas, distribuições Linux, appliances ou produtos de terceiros que embarquem versões vulneráveis do Apache Tomcat também devem ser avaliados.

2. Identificadores CVE (http://cve.mitre.org):

* CVE-2026-34486

3. Descrição da(s) vulnerabilidade(s):

* A CVE-2026-34486 é uma vulnerabilidade no Apache Tomcat relacionada ao EncryptInterceptor;
* A falha decorre de um erro na correção da CVE-2026-29146, que permitiu o bypass do EncryptInterceptor;
* O EncryptInterceptor é utilizado para proteger a comunicação em determinados cenários de cluster do Tomcat;
* A exploração da vulnerabilidade pode permitir que a proteção esperada pelo EncryptInterceptor seja contornada em ambientes vulneráveis;
* O impacto pode envolver exposição de dados sensíveis ou comprometimento das garantias de confidencialidade e integridade esperadas para comunicações protegidas pelo recurso;
* O Apache Tomcat classifica a vulnerabilidade como Important;
* O CTIR Gov informa que a vulnerabilidade está listada no catálogo CISA Known Exploited Vulnerabilities (KEV);
* O CTIR Gov também informa EPSS de 42,63% e Percentile EPSS de 98,58%;
* Devido à presença no CISA KEV e ao uso recorrente do Apache Tomcat em ambientes institucionais, recomenda-se priorizar a aplicação das correções.

4. Mitigação e correções disponíveis:

* Recomenda-se atualizar imediatamente o Apache Tomcat para uma versão corrigida;
* Para ambientes Apache Tomcat 11, atualizar para a versão 11.0.21 ou superior;
* Para ambientes Apache Tomcat 10.1, atualizar para a versão 10.1.54 ou superior;
* Para ambientes Apache Tomcat 9, atualizar para a versão 9.0.117 ou superior;
* Verifique se o ambiente utiliza o EncryptInterceptor e se há comunicação de cluster ou replicação de sessão dependente desse recurso;
* Revise a exposição de interfaces administrativas, portas de cluster e comunicação entre nós Tomcat;
* Restrinja a comunicação entre nós Tomcat apenas a redes confiáveis e segmentadas;
* Verifique se distribuições Linux, pacotes de terceiros, imagens de container ou appliances utilizam versões vulneráveis do Apache Tomcat;
* Em ambientes containerizados, atualize as imagens base e reinicie os containers para garantir que a versão corrigida esteja efetivamente em execução;
* Revise logs do Tomcat, logs de aplicação, SIEM, EDR, IDS/IPS e demais ferramentas de monitoramento em busca de acessos anômalos, falhas incomuns ou indícios de exploração;
* Caso haja suspeita de exploração, recomenda-se acionar o processo interno de resposta a incidentes, preservar evidências, coletar logs e revisar a integridade do ambiente.

5. Mais Informações:

* CTIR Gov - Alerta 67/2026:
https://www.gov.br/gsi/pt-br/assuntos/ctir/alertas/2026/alerta-67-2026

* NVD - CVE-2026-34486:
https://nvd.nist.gov/vuln/detail/CVE-2026-34486

* CVE.org - CVE-2026-34486:
https://www.cve.org/CVERecord?id=CVE-2026-34486

* Apache Tomcat 11 Vulnerabilities:
https://tomcat.apache.org/security-11.html

* Apache Tomcat 10 Vulnerabilities:
https://tomcat.apache.org/security-10.html

* Apache Tomcat 9 Vulnerabilities:
https://tomcat.apache.org/security-9.html

* Apache Tomcat Security Mailing List:
https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly

* CISA Known Exploited Vulnerabilities Catalog:
https://www.cisa.gov/known-exploited-vulnerabilities-catalog

O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

Os alertas do CAIS também podem ser acompanhados pelas redes sociais da RNP. Siga-nos!!
Twitter: @caisRNP
Facebook: facebook.com/RedeNacionaldeEnsinoePesquisaRNP.

####################################################################
#              CAIS - Inteligência em Cibersegurança               #
#             Rede Nacional de Ensino e Pesquisa (RNP)             #
#            cais@rnp.br         https://www.rnp.br/cais           #
# Chave PGP disponível https://plataforma.rnp.br/cais/cais-pgp.key #
####################################################################
-----BEGIN PGP SIGNATURE-----
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=ykL9
-----END PGP SIGNATURE-----