Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) waarschuwt dat een beveiligingslek in Apache Tomcat, dat remote code execution mogelijk maakt, momenteel actief wordt misbruikt. Deze kwetsbaarheid doet zich alleen voor bij specifieke configuraties van de webserver en servlet container.

Het probleem, geregistreerd als CVE-2026-34486, zit in de clustering feature van Tomcat. Deze feature maakt gebruik van het Tribes-framework om sessiegegevens tussen cluster nodes te synchroniseren. Wanneer de EncryptInterceptor-optie is ingeschakeld om het verkeer tussen nodes te versleutelen, ontstaat er een logicafout. Een ongeauthenticeerde aanvaller kan deze fout misbruiken om remote code execution uit te voeren.

De kwetsbaarheid is het gevolg van een eerdere patch voor een ander beveiligingsprobleem (CVE-2026-29146). Updates die dit nieuwe lek verhelpen zijn sinds begin april beschikbaar. CISA heeft Amerikaanse overheidsinstanties opgedragen om deze updates binnen drie dagen te installeren. Verdere details over de actieve misbruikgevallen zijn niet vrijgegeven.