Lỗ hổng Apache Tomcat tháng 10/2026: 8 lỗi và cách cập nhật

Ngày 20/10/2026, 8 lỗ hổng của Apache Tomcat, phần mềm dùng để chạy ứng dụng web, đã được công bố. Ngày hôm sau (21/10), JVN cũng đưa tin với mã "JVNVU#93110597". Các bản vá là 11.0.27, 10.1.61, 9.0.123.

Bài viết này dành cho các công ty có hệ thống nghiệp vụ viết bằng Java: phiên bản bị ảnh hưởng, những điểm mà mức ảnh hưởng thay đổi tùy cấu hình, và các bước cập nhật. Tomcat thường được tích hợp sẵn bên trong sản phẩm đóng gói hoặc ứng dụng Spring Boot, nên các công ty đang nghĩ "chỗ mình không dùng" cũng hãy kiểm tra.

Đây là những lỗ hổng gì? Nên ưu tiên xử lý lỗ hổng nào?

3 lỗ hổng có mức độ quan trọng cao được liệt kê dưới đây. Cả ba đều không xảy ra trên mọi Tomcat; mức ảnh hưởng thay đổi tùy phiên bản và cấu hình.

Trong file server.xml đi kèm Tomcat, cấu hình connector AJP và HTTP/2 đang ở dạng comment (chưa có hiệu lực). Nghĩa là nếu vẫn giữ cấu hình ban đầu thì các vấn đề của AJP và HTTP/2 không phát sinh. Tuy nhiên, không ít công ty đã thay đổi cấu hình khi sử dụng. Đừng kết luận "không bị ảnh hưởng" khi chưa xem cấu hình của công ty mình.

5 lỗ hổng còn lại được Apache đánh giá là "Low (thấp)".

• CVE-2026-93446: kết nối TLS 1.3 đôi khi bị thất bại
• CVE-2026-88041: thông tin trailer của HTTP/2 bị lẫn vào yêu cầu tiếp theo
• CVE-2026-74049: sau <c:redirect> của JSP, phần xử lý còn lại của trang vẫn tiếp tục chạy
• CVE-2026-74048: dù bật chế độ FIPS thất bại, Tomcat vẫn cứ khởi động
• CVE-2026-80353: vấn đề liên quan đến thiết lập quyền của UNIX domain socket (trong danh sách được ghi ở nhánh 9.0)

Phiên bản bị ảnh hưởng và bản cần lên

※ Nhánh 8.5 đã hết hỗ trợ từ ngày 31/3/2024. Theo bản ghi CVE, CVE-2026-101296 và CVE-2026-74049 cũng ảnh hưởng đến nhánh 8.5 và nhánh 7.0.

※ Nếu đang dùng nhánh 9.0, hãy xem thêm kế hoạch về nhánh 9.1 do Apache thông báo; như vậy sẽ dễ lập kế hoạch tiếp theo hơn.

5 bước kiểm tra và xử lý

1. Rà soát xem Tomcat đang chạy ở đâu

   Ngoài bản cài trực tiếp trên máy chủ, hãy kiểm tra cả Tomcat nằm trong sản phẩm đóng gói, Docker image và ứng dụng Spring Boot (tomcat-embed-core).

2. Xem phiên bản

   Trên máy chủ, có thể xem bằng bin/version.sh (Windows là version.bat). Nếu Tomcat được tích hợp trong ứng dụng, hãy xem các thư viện phụ thuộc lúc build.

3. Kiểm tra cấu hình

   Trong server.xml hoặc file tương tự, hãy kiểm tra phương thức xác thực của JNDIRealm, và xem có đang dùng HTTP/2 (UpgradeProtocol), connector AJP hay không.

4. Thử cập nhật trên môi trường kiểm thử

   Nếu cập nhật trong cùng một nhánh, mức ảnh hưởng sẽ tương đối nhỏ. Hãy thử các chức năng chính như đăng nhập, tải file lên, liên kết với bên ngoài, rồi mới áp dụng lên môi trường thật.

5. Kiểm tra cả phiên bản Java

   Nhân dịp cập nhật Tomcat, hãy xem lại cả phiên bản Java. Bài "Lỗ hổng Java tháng 10/2026" cũng có thể hữu ích.

Khi chưa cập nhật ngay được

Thông báo của Apache nêu biện pháp xử lý là cập nhật lên bản vá. Trong thời gian chưa cập nhật, có thể giảm rủi ro bằng cách tắt các chức năng bị ảnh hưởng. Muốn khắc phục triệt để thì vẫn phải cập nhật.

• Nếu không dùng AJP, hãy tắt connector. Nếu có dùng, hãy chặn để không kết nối được từ bên ngoài
• Nếu không cần HTTP/2, hãy bỏ cấu hình UpgradeProtocol
• Nếu cấu hình liên kết LDAP thuộc trường hợp bị ảnh hưởng, hãy ưu tiên lên lịch cập nhật

Gửi các công ty đang có hệ thống Java cũ

Hệ thống còn dùng Tomcat cũ thường cũng có Java và hệ điều hành cũ. Nếu không thể nâng cấp tất cả cùng lúc, hãy xem lại lần lượt, bắt đầu từ phần đang công khai ra Internet. Cách tiếp cận được giải thích trong bài "Bảo mật hệ thống cũ: bắt đầu từ đâu?"; nếu không liên lạc được với đơn vị phát triển, hãy xem bài "Tiếp nhận bảo trì hệ thống cũ không có tài liệu".

Những điều nên hỏi nhà thầu

• Tomcat của hệ thống chúng tôi hiện ở phiên bản nào? Bản sửa được công bố vào tháng 10 đã được áp dụng chưa?
• Bên trong ứng dụng hoặc sản phẩm đóng gói có Tomcat nào khác được tích hợp không?
• Hệ thống có đang dùng liên kết LDAP, HTTP/2, AJP không?
• Việc cập nhật Tomcat có nằm trong hợp đồng bảo trì không?

Để nguyên hay xử lý ngay?

Digi Dinos có thể giúp gì?

Digi Dinos là công ty hỗ trợ DX, bảo mật, vận hành và bảo trì hệ thống. Chúng tôi có văn phòng tại Nhật Bản và Việt Nam; trong 8 năm kể từ khi thành lập, chúng tôi đã thực hiện hơn 150 dự án. Chúng tôi đã đạt chứng nhận ISO 27001, với đội ngũ làm việc được bằng tiếng Nhật.

• Cập nhật Java và Tomcat: từ kiểm tra phiên bản và cấu hình đến kiểm thử và áp dụng lên môi trường thật.
• Tiếp nhận bảo trì hệ thống cũ: hệ thống do công ty khác làm, chúng tôi cũng đọc chương trình để tìm hiểu rồi tiếp nhận.
• Lập kế hoạch chuyển đổi: đề xuất cách chuyển khỏi phiên bản đã hết hỗ trợ, cùng với chi phí và thời gian.
• Bảo hành vĩnh viễn: nếu phát hiện lỗi ở phần chúng tôi đã sửa, chúng tôi chịu trách nhiệm sửa, không giới hạn thời gian chừng nào hợp đồng bảo trì còn tiếp tục.

Câu hỏi thường gặp