CVE-2026-86350

概要

Apache Tomcat における HTTP/2 リクエストの解釈の不一致（「HTTP Request/Response smuggling」）脆弱性は、CVE-2026-41293 の修正におけるリグレッションに起因し、リクエストヘッダーの取り違えを引き起こす可能性があります。この問題は Apache Tomcat に影響します：11.0.22 から 11.0.25、10.1.55 から 10.1.59、9.0.118 から 9.0.121。ユーザーは、この問題を修正したバージョン 11.0.26、10.1.60、または 9.0.122 へのアップグレードを推奨します。

ソース

• CVE-2026-86350PoC

  CVE-2026-86350 のディスクロージャーパックおよび PoC。Apache Tomcat 9.0.121 における未認証の HTTP/2 リクエストヘッダー混同 (CWE-444) で、ラボでの再現手順とパッチガイダンスを含む。