Exposição de Apache Tomcat

Web servers
501
score de exposição
13.840
sites usam
6
em exploração
34
críticos
Análise Vexday

Apache Tomcat acumula 131 CVEs catalogadas, das quais 5 estão confirmadas em exploração ativa pelo CISA KEV — representando uma taxa 8,5 vezes acima da média geral do catálogo, sinal claro de que vulnerabilidades nessa tecnologia atraem atenção consistente de agentes maliciosos. O tipo de falha mais recorrente é CWE-20 (validação de entrada imprópria), que historicamente viabiliza desde execução remota de código até desvios de controle de acesso. A CVE mais crítica atualmente ativa, CVE-2017-12617, apresenta EPSS de 0,9999 — praticamente a pontuação máxima de probabilidade de exploração —, exigindo atenção prioritária em qualquer ambiente que ainda execute versões vulneráveis. Os 17 novos registros surgidos nos últimos 90 dias, somados às 19 CVEs de severidade crítica, indicam uma superfície de ataque que segue crescendo e que demanda ciclos de patching frequentes e monitoramento contínuo.

CVEs

174 resultados
CVE-2026-93446HIGHApache Tomcat: Possible TLS 1.3 connection failuresEPSS 0.6%CVE-2026-103119CRITICALApache Tomcat: AJP response mix-upEPSS 0.6%CVE-2026-53434CRITICALApache Tomcat: Invalid CRL configuration doesn't trigger failure for FFM ConnectorEPSS 0.6%CVE-2026-24734HIGHApache Tomcat Native, Apache Tomcat: OCSP revocation bypassEPSS 0.6%CVE-2026-76183CRITICALApache Tomcat: Bypass of security constraints for WebSocket endpointsEPSS 0.6%CVE-2026-86243HIGHApache Tomcat Native: DoS via TLS handshakeEPSS 0.6%CVE-2025-40711CRITICALSQL injection vulnerability in Quiter GatewayEPSS 0.6%CVE-2026-66299HIGHApache Tomcat: DoS via WebSocket chat exampleEPSS 0.6%CVE-2026-24733MEDIUMApache Tomcat: Security constraint bypass with HTTP/0.9EPSS 0.6%CVE-2026-87022HIGHApache Tomcat: WebSocket message smuggling with per-message-deflateEPSS 0.5%CVE-2026-25854MEDIUMApache Tomcat: Occasionally open redirectEPSS 0.5%CVE-2026-77756LOWApache Tomcat: Transfer-Encoding honored for HTTP/1.0 requestsEPSS 0.5%CVE-2026-59083CRITICALApache Tomcat: Incorrect URL decoding in RewriteValve may allow security control bypassEPSS 0.5%CVE-2026-75973HIGHApache Tomcat: Cross-context authentication mix-up with Jakarta Authentication configuredEPSS 0.5%CVE-2026-88041HIGHApache Tomcat: HTTP/2 trailer header cross-contaminationEPSS 0.5%CVE-2026-78437HIGHApache Tomcat: HTTP/2 DoS via malformed requestEPSS 0.5%CVE-2026-59084CRITICALApache Tomcat: EncryptInterceptor requirements not clearly documentedEPSS 0.5%CVE-2026-43513HIGHApache Tomcat: LockOutRealm treats user names as case-sensitiveEPSS 0.5%CVE-2026-78383HIGHApache Tomcat: AJP DoS via missing request bodyEPSS 0.5%CVE-2026-101356CRITICALApache Tomcat: HTTP/2 request/response mix-up after error during async processingEPSS 0.5%