Apache Tomcat 集群加密拦截器绕过反序列化代码执行漏洞（CVE-2026-34486）（CVE-2026-34486）

来源： aliyun_avd · 发布时间 2026-04-10 00:00 (UTC+08:00) · 抓取时间 2026-04-15 22:30 (UTC+08:00)

摘要

正文

Apache Tomcat 是一个Java Web 应用服务器，由于官方在修复CVE-2026-29146时导致疏漏，引入了新的代码缺陷，导致未成功解密的集群消息继续进入后续处理流程，从而绕过加密保护，并且可以造成反序列化。因此在CVE-2026-34486中，攻击者在可访问到集群端口的情况下可构造恶意请求执行任意代码，控制服务器。官方已发布安全更新，建议升级至最新版本。影响范围 Apache Tomcat 11.0.20 Apache Tomcat 10.1.53 Apache Tomcat 9.0.116 CVE编号: CVE-2026-34486 利用情况: 暂无补丁情况: 官方补丁阿里云评分: 8.1 ** 威胁评估 ** 攻击路径: 远程攻击复杂度: 容易权限要求: 无需权限影响范围: 全局影响 EXP成熟度: 未验证补丁情况: 官方补丁数据保密性: 数据泄露数据完整性: 传输被破坏服务器危害: 服务器失陷全网数量: N/A ** 解决建议 ** 1、建议升级Tomcat至最新版本。2、若使用集群模式，请利用安全组设置集群监听端口（默认4000）仅对可信地址开放。 ** 参考链接 ** - https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly

扩展字段

{
  "aliyun_score": 8.1,
  "avd_id": "AVD-2026-34486",
  "cvss_details": {
    "EXP成熟度": "未验证",
    "全网数量": "N/A",
    "影响范围": "全局影响",
    "攻击复杂度": "容易",
    "攻击路径": "远程",
    "数据保密性": "数据泄露",
    "数据完整性": "传输被破坏",
    "服务器危害": "服务器失陷",
    "权限要求": "无需权限",
    "补丁情况": "官方补丁"
  },
  "cwe_description": "敏感数据加密缺失",
  "severity_text": "高危"
}

网安资讯详情 - SecLens 情报雷达

Apache Tomcat 集群加密拦截器绕过反序列化代码执行漏洞（CVE-2026-34486）（CVE-2026-34486）

摘要

正文

标签

扩展字段