CVE-2026-101296, CVE-2026-101356, CVE-2026-103119 Apache Tomcat에서 인증 우회(Authentication Bypass) 및 정보 노출로 이어질 수 있는 취약점 3건이 공개됐습니다. CVSS v3.1 점수는 각각 9.8 / 9.1 / 9.1이며, Apache의 공식 심각도 분류는 모두 Important입니다. CVE-2026-101296은 JNDIRealm에서 GSSAPI 이외의 SASL 인증 메커니즘을 사용하는 경우, LDAP 바인드 자격 증명 검증 단계가 누락되어 Authentication Bypass가 가능한 Fail-open 취약점입니다. CVE-2026-101356은 HTTP/2 비동기 서블릿의 오류 처리 과정에서 객체가 잘못 회수/재사용되어, 사용자 간 요청/응답 혼선과 정보 노출로 이어질 수 있는 취약점입니다. CVE-2026-103119는 AJP 커넥터에서 대용량 Non-blocking Write를 처리하는 과정에서 버퍼의 시작 경계 이전을 읽는 Buffer Under-read가 발생하는 취약점입니다. 응답 본문의 일부가 같은 연결의 후속 요청에 섞여 전달되면서, 해당 요청이 실패하거나 이전 응답의 데이터가 노출될 수 있습니다. 쉽게 설명하면, 첫 번째는 특정 인증 설정에서 비밀번호가 틀려도 로그인을 통과할 수 있다는 뜻입니다. 두 번째는 내가 받아야 할 정보가 타인에게 잘못 전송될 수 있다는 뜻입니다. 세 번째는 나에게 전송되던 정보의 일부가 다음 사람에게 전달될 수 있다는 뜻입니다. 보안 업데이트는 10월 12일 배포됐고, 취약점은 10월 20일 공개됐습니다. 수정 버전은 Tomcat 11.0.27 / 10.1.61 / 9.0.123입니다.
