Tomcat 11.0.26: بای‌پس authz وب‌سوکت و قاطی‌شدن هدر HTTP/2

صفحهٔ امنیت Tomcat 11 برای ریلیز 11.0.26 دو تاریخ دارد که ارزش جدا کردن دارند: فیکس‌ها ۱۵ سپتامبر ۲۰۲۶ در بیلد نشستند، و جزئیات مسائل ۲۳ سپتامبر عمومی شد. اگر هنوز روی 11.0.25 یا پایین‌تر هستید، فاصلهٔ این هشت روز همان پنجره‌ای است که مهاجم با advisory عمومی کار می‌کند.

دو موردی که از بقیه بالاتر می‌ایستند:

CVE-2026-76183 — پارس اشتباه مسیر درخواست به‌عنوان endpoint template باعث می‌شود security constraintهای تعریف‌شده برای endpointهای WebSocket دور زده شوند. یعنی قاعده‌ای که فکر می‌کردید جلوی دسترسی را می‌گیرد، روی مسیرِ بدپارس‌شده اعمال نمی‌شود.

CVE-2026-86350 — HTTP/2 request-header mix-up؛ یک regression. بازهٔ درگیر برای این مورد 11.0.22 تا 11.0.25 اعلام شده، در حالی که مجموعهٔ کلی مشکلات 11.0.26 از 11.0.0-M1 تا 11.0.25 را پوشش می‌دهد.

کنار این دو، advisory به DoS روی AJP، مسائل DoS/smuggling در WebSocket، و موارد TLS/OCSP هم اشاره دارد. شاخه‌های موازی 10.1.x و ۹٫۰٫x طبق صفحات امنیت همان پروژه فیکس جدا دارند؛ فقط 11 را ارتقا ندهید و بقیهٔ ناوگان را فراموش کنید.

اولویت عملی برای تیم جاوا: اگر WebSocket پشت constraint امنیتی دارید یا ترافیک HTTP/2/AJP را terminate می‌کنید، 11.0.26 (یا معادل پچ‌شده در شاخهٔ خودتان) را جلوتر از «آپدیت ماهانه معمول» بگذارید. بای‌پس authz روی WebSocket از آن کلاس باگ‌هایی است که در تست عملکرد دیده نمی‌شود و فقط وقتی constraint را جدی می‌گیرید دردناک می‌شود.