Apache Tomcat CVE-2026-34486: EncryptInterceptor-Bypass im Cluster ermöglicht RCE

CISA hat am 4. August 2026 Apache Tomcat in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Die Schwachstelle CVE-2026-34486 betrifft den EncryptInterceptor im Cluster-Modus und erlaubt es Angreifern, unverschlüsselte Nachrichten zu senden. In Kombination mit Java-Deserialisierung kann das zu Remote Code Execution führen. Betroffen sind alle Tomcat-Versionen mit aktiver Cluster/Tribes-Konfiguration.

Was ist passiert?

Apache Tomcat bietet eine Clustering-Funktion über das Tribes-Modul. Der EncryptInterceptor soll sensible Daten zwischen Cluster-Knoten verschlüsseln. Ein Fehler im Fix für eine frühere Schwachstelle (CVE-2026-29146) führt dazu, dass der EncryptInterceptor komplett umgangen werden kann. Wenn eine Entschlüsselung fehlschlägt, wirft Tomcat die Nachricht nicht ab, sondern verarbeitet sie trotzdem. Ein Angreifer kann auf Port 4000 unverschlüsselte Java-Serialisierungsnachrichten senden und so Code ausführen.

Wer ist betroffen?

1. Betroffen: Apache Tomcat 11.0.20, 10.1.53 und 9.0.116 mit aktiver Cluster/Tribes-Konfiguration.
2. Nicht betroffen: Tomcat-Instanzen ohne Cluster (Einzelinstanzen), Tomcat ab Version 11.0.21 / 10.1.54 / 9.0.117.
3. Angriffspfad: Remote, unauthentifiziert, über Port 4000 (Tribes-Cluster-Port), Java-Deserialisierung.

Wie kritisch ist das?

CVSS 7.5 (hoch) und CISA KEV-Eintrag. Die Schwachstelle ist Cluster-spezifisch: Sie betrifft nur Tomcat-Instanzen, die im Cluster-Modus mit Tribes betrieben werden. In vielen KMU-Umgebungen läuft Tomcat als Einzelinstanz, dann besteht keine direkte Gefahr. Wer jedoch einen Tomcat-Cluster mit mehreren Knoten betreibt, muss sofort handeln.

Was sollten Admins jetzt tun?

1. Cluster-Status prüfen: In server.xml nach <Cluster>-Konfiguration und Port 4000 suchen. Kein Cluster = nicht betroffen.
2. Tomcat-Version prüfen: catalina.sh version aufrufen. Gesucht: 11.0.20, 10.1.53 oder 9.0.116.
3. Upgrade durchführen: Auf 11.0.21, 10.1.54 oder 9.0.117 aktualisieren.
4. Port 4000 absichern: Falls Upgrade nicht sofort möglich: Port 4000 nur aus vertrauenswürdigen Netzwerken erreichbar machen, Firewall-Regel setzen.
5. Netzwerkmonitoring: Unerwartete Verbindungen auf Port 4000 überwachen.

Einordnung für Unternehmen

für Unternehmen mit Tomcat-Clustern (z.B. für Hochverfügbarkeit oder Load Balancing) ist diese Schwachstelle relevant und zu priorisieren. Ein kompromittierter Cluster-Knoten kann auf alle angeschlossenen Anwendungen zugreifen. In Single-Server-Umgebungen (der Normalfall in KMU) besteht kein direktes Risiko, aber ein Upgrade auf die Fix-Version ist trotzdem empfehlenswert.

Passende Anleitungen auf S-EDV

1. Docker Compose absichern: Secrets, Healthchecks, Non-Root – Grundlagen für sichere Container-Bereitstellung, auch für Tomcat in Docker.

Quellen

1. NVD: CVE-2026-34486
2. CISA KEV Catalog
3. OpenCVE: CVE-2026-34486
4. SentinelOne: CVE-2026-34486
5. KK-Mako: Tomcat CVE-2026-34486 exploited