CISA 警告：Apache Tomcat 高危加密漏洞遭利用，限期8月7日前修复 ...

蓝66蓝

“该漏洞正在被积极利用，组织必须在2026年8月7日前完成修复。”美国网络安全与基础设施安全局（CISA）近日将Apache Tomcat的一个高危漏洞（编号CVE-2026-34486）列入了已知利用漏洞目录，并直接给出修补截止时间。这一动作意味着，针对该漏洞的攻击已从理论验证阶段进入实际入侵环节，任何还在运行受影响版本的Tomcat集群都可能成为下一个目标。
这个漏洞的根源，是一次修复带来的新问题。Apache Tomcat原本依赖EncryptInterceptor组件来保证集群通信的机密性，拦截未加密或加密不当的报文。但今年早些时候曝出的CVE-2026-29146漏洞在修复时实现存在缺陷，导致攻击者可以构造特殊报文绕过EncryptInterceptor的保护。CISA的技术描述指向一种“敏感数据加密缺失”缺陷（分类为CWE-311），本质上就是集群消息在传输时失去了应得的加密防护，为窃听和篡改敞开了口子。


% }, {. j- n6 p% G受影响的范围非常清晰：Apache Tomcat 11.0.20、10.1.53和9.0.116三个版本。Apache基金会已经在Tomcat 11.0.21、10.1.54和9.0.117中完成了修正。只要启用了Tomcat聚类功能，或者集群通信走的是Apache Tribes通道，就必须立刻执行升级。对于暂时无法更新系统的团队，CISA的指导意见是先用网络隔离降低风险——只允许信任节点触碰集群通信端口，配合防火墙策略和私有网络路径来堵住外部攻击的入口。
! {# _* ?  m" B& p% G/ r, N& [( t威胁情报团队Unit 42的跟踪发现，已经有中文语系的攻击者将CVE-2026-34486用于一场AI辅助的攻击行动。这些攻击尝试向脆弱的Tomcat服务器植入基于Java反序列化的反弹shell，整套操作从漏洞披露到扫描探测、入侵尝试的间隔极短。虽然CISA尚未确认该漏洞是否已被勒索软件组织纳入武器库，但攻击者一旦在面向互联网的应用服务器上站稳脚跟，下一步往往是窃取凭据、横向移动、摄取数据或者部署恶意软件。也就是说，这个缺陷提供的初始立足点，足以撬动整个内网的防线。
排查和应对不应局限于物理数据中心。云环境中的实例、容器平台上部署的Tomcat、隐藏在内部应用集群里的老版本，都需要被精准定位。管理员要做的第一步是确认Apache Tribes聚类是否处于启用状态，然后核对版本号。修复的本质是消除EncryptInterceptor的绕过路径，所以直接应用更新版本是最彻底的方案。在补丁测试和灰度推送期间，那些必须暴露在不受信网络中的Tomcat服务，尤其要守住集群通信端口这一道关卡。