C'est une vulnérabilité de sévérité élevée. Une correction rapide est recommandée.
Cette faille affecte Apache Tomcat, le serveur d'applications Apache Tomcat, dans les versions Exactement 9.0.116 · 10.1.53 · 11.0.20. Le correctif est disponible en version 9.0.117 / 10.1.54 / 11.0.21 selon la branche installée.
Description technique (source NVD (nvd.nist.gov)) : « Le correctif apporté à CVE-2026-29146 (attaque par oracle de remplissage contre EncryptInterceptor) a introduit une régression permettant de contourner ce même composant EncryptInterceptor dans Apache Tomcat. EncryptInterceptor chiffre les données échangées entre les nœuds d'un cluster Tomcat (réplication de session) : son contournement expose ces données en clair sur le réseau. Il ne s'agit pas d'une exécution de code à distance, mais d'une vulnérabilité « Missing Encryption of Sensitive Data » (CVSS 3.1 : 7.5, HIGH), qui peut être chaînée avec CVE-2025-24813. N'affecte que les versions exactes 9.0.116, 10.1.53 et 11.0.20 (la régression elle-même), pas les versions antérieures à CVE-2026-29146. Activement exploitée (voir le catalogue CISA KEV). »
Comment savoir si je suis touché ?
La seule manière fiable de savoir si votre site est concerné est de vérifier la version de Apache Tomcat réellement installée. ScanMonSite automatise ce contrôle à distance, en lecture seule, gratuitement.