Was passiert ist
Apache Tomcat: Tomcat 11 (11.0.27) hat sieben Probleme behoben, drei davon Important: eine Verwechslung von AJP-Antworten, eine Verwechslung von HTTP/2-Antworten und eine Verzeichnis-Anmeldeprüfung (JNDIRealm), die eine abzulehnende Anmeldung durchlassen konnte. Das AJP-Problem betrifft nur Tomcat 11. Tomcat 10.1 (10.1.61) hat zwei Important und vier Low, Tomcat 9.0 (9.0.123) zwei Important und fünf Low; die beiden Important sind dort jeweils das HTTP/2- und das JNDIRealm-Problem. tomcat.apache.org
Oracle Java SE: Oracles vierteljährliches Java-Update. OpenJDK-Builds anderer Anbieter folgen ihren eigenen Release Notes. docs.oracle.com
Spring Framework: Ein niedrig eingestuftes Problem, bei dem Server-Sent-Event-Streams in funktionalem MVC unter engen Bedingungen beschädigt werden können. spring.io
Aktuelle Sicherheitsmeldungen
Beginnt deine Version mit der Zahl links, brauchst du die rechte Version oder neuer.
| Meldung | Einstufung (Hersteller) | Behoben in |
|---|---|---|
| Apache Tomcat 11.0.27, 10.1.61 und 9.0.123CVE-2026-103119, CVE-2026-101356, CVE-2026-101296Herstellermeldungtomcat.apache.orgAußerdem: Apache Tomcat 10 Sicherheitsseite, Apache Tomcat 9 SicherheitsseiteVeröffentlicht2026-10-20Zuletzt geprüft2026-10-22 (KST) | Einstufung (Hersteller) Wichtig 11.0: 3 Important, 4 Low · 10.1: 2 Important, 4 Low · 9.0: 2 Important, 5 Low | Behoben in
Veröffentlicht am 2026-10-12, bekanntgegeben am 2026-10-20. Das AJP-Problem (CVE-2026-103119) betrifft nur Tomcat 11. |
| Oracle Java SE Critical Patch Update Oktober 2026Herstellermeldungdocs.oracle.comAußerdem: Oracle Critical Patch Update, Oktober 2026Veröffentlicht2026-10-20Zuletzt geprüft2026-10-22 (KST) | Einstufung (Hersteller) Siehe Herstellerseite Eingestuft in Oracles Risikomatrix | Behoben in
|
| Apache Tomcat 11.0.26, 10.1.60 und 9.0.122CVE-2026-76183Korrekturen, darunter eine Umgehung von WebSocket-Sicherheitsbeschränkungen. Die Oktober-Versionen enthalten sie ebenfalls.Herstellermeldungtomcat.apache.orgVeröffentlicht2026-09-23Zuletzt geprüft2026-10-22 (KST) | Einstufung (Hersteller) Wichtig | Behoben in
Veröffentlicht am 2026-09-15, bekanntgegeben am 2026-09-23. |
| Spring Framework CVE-2026-59313CVE-2026-59313Herstellermeldungspring.ioVeröffentlicht2026-08-20Zuletzt geprüft2026-10-22 (KST) | Einstufung (Hersteller) Niedrig | Behoben in
7.0.8.1, 6.2.20, 6.1.29, 6.0.31 und 5.3.50 gibt es nur über Enterprise Support. |
| Apache Tomcat CVE-2025-24813CVE-2025-24813Betrifft nur Installationen, in denen Schreibzugriffe für das Default-Servlet aktiviert sind; standardmäßig ist das aus.Herstellermeldungtomcat.apache.orgVeröffentlicht2025-03-10Zuletzt geprüft2026-10-22 (KST) | Einstufung (Hersteller) Wichtig | Behoben in
|
So prüfst du deine Version
Hosting-Panel
Hosting-Plattform: Die Java- oder Runtime-Einstellung zeigt die JDK-Version und manchmal die Tomcat-Version.
Admin-Bereich oder Projektdateien
Spring-Boot-Apps: Sieh dir die Version von spring-boot-starter-parent oder der BOM in pom.xml oder build.gradle an. Die eingebaute Tomcat-Version steht im Abhängigkeitsbaum (Gradle: gradle dependencies).
mvn dependency:tree
Kommandozeile
Für das JDK führst du dies auf dem Server aus.
java -versionEigenständiger Tomcat: Führe das Versionsskript im bin-Ordner von Tomcat aus (unter Windows version.bat). github.com
$CATALINA_HOME/bin/version.sh
So aktualisierst du
Dein Hoster oder deine Plattform betreibt es
Hosting-Plattformen: Wähl in der Runtime-Einstellung die behobene JDK- oder Tomcat-Version und deploye neu.
Du betreibst den Server selbst
Tomcat: Lade die behobene Version herunter und installiere sie. Tomcat veröffentlicht keine Binär-Patches; der Rat ist, auf eine Version mit der Korrektur zu wechseln. tomcat.apache.org
Spring Boot: Wechsle auf eine neuere Spring-Boot-Version oder setz die Eigenschaft tomcat.version auf eine behobene Tomcat-Version.
JDK: Aktualisiere über den Kanal deines JDK-Anbieters. OpenJDK-Builds anderer Anbieter (Temurin, Corretto und andere) folgen ihren eigenen Release Notes, also prüf deinen Anbieter, statt eine Nummer zu raten.
Tomcat 8.5 und 10.0 haben das Ende ihres Supports erreicht und bekommen keine Korrekturen; plane den Wechsel auf 9.0, 10.1 oder 11.0.
Wenn du noch nicht aktualisieren kannst
Apache Tomcat: Apache Tomcat 11.0.27, 10.1.61 und 9.0.123
Tomcat nennt die Bedingungen jedes Eintrags auf seiner Sicherheitsseite. Für diese Einträge lautet der Rat von Tomcat: aktualisieren. tomcat.apache.org
Spring Framework: Spring Framework CVE-2026-59313
Der Rat von Spring ist das Upgrade auf die behobene Version; dazu heißt es: „No further mitigation steps are necessary.“ spring.io
Apache Tomcat: Apache Tomcat CVE-2025-24813
Tomcats Bedingung: Es betrifft nur Installationen mit aktivierten Schreibzugriffen für das Default-Servlet (standardmäßig aus). Hat das niemand eingeschaltet, trifft dieser Eintrag nicht zu, und ein Update deckt ihn ohnehin ab. tomcat.apache.org
Was du deinen Hoster fragst
Kopiere den Text, fülle die Klammern aus und schicke ihn über den Support deines Hosters.
Hallo, meine Java-App [App-Name] läuft auf eurer Plattform. Könnt ihr mir sagen, welche JDK- und welche Apache-Tomcat-Version sie nutzt? Tomcat hat Probleme in 11.0.27, 10.1.61 und 9.0.123 behoben (veröffentlicht am 20. Oktober 2026), und Oracles Update vom Oktober 2026 umfasst unter anderem 21.0.13 und 17.0.21. Läuft meine Runtime auf einer behobenen Version, und wie aktualisiere ich sie? Danke.
Herstellerquellen
- Apache Tomcat 11 Sicherheitsseitetomcat.apache.org
- Apache Tomcat 10 Sicherheitsseitetomcat.apache.org
- Apache Tomcat 9 Sicherheitsseitetomcat.apache.org
- Spring CVE-2026-59313spring.io
- Oracle JDK CPU Oktober 2026, Release Notesdocs.oracle.com
- Oracle Critical Patch Update, Oktober 2026www.oracle.com
Zuletzt geprüft (KST)