BSI-Warnung: Schwachstellen in Apache Tomcat APR/native Connector

Tier C · Im Auge behalten – Prüfen, ob du betroffen bist

Wer betroffen ist: Tomcat-Server mit APR/native Connector

Tier C, weil: Trifft Tech-Teams

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug

Was zu tun ist

Prüfen, ob der APR/native Connector in den eingesetzten Tomcat-Installationen aktiv ist
Die Sicherheitshinweise von Apache Tomcat und die WID-Warnung WID-SEC-2026-3559 auf verfügbare Updates prüfen und zeitnah einspielen

Kurz gesagt

Das BSI warnt vor mehreren Schwachstellen im APR/native Connector von Apache Tomcat.
Ein Angreifer kann die Lücken für einen Denial-of-Service-Angriff nutzen.
Zusätzlich können Sicherheitsvorkehrungen umgangen werden. Das BSI stuft die Warnung als hoch ein.

Warum es wichtig ist

Betreiber von Tomcat-Servern in Deutschland, Österreich und der Schweiz sollten prüfen, ob sie den APR/native Connector einsetzen, da Angreifer Dienste lahmlegen und Schutzmechanismen umgehen können.

Die Checkliste hinter dem Tier

Checkliste · 2 von 10 mit Ja

Ja	Trifft Tech-Teams	Tomcat ist ein Server, den Entwickler und Ops-Teams betreiben.
Nein	Kerninfrastruktur	Tomcat APR/native Connector ist ein einzelnes Serverprodukt, keine Kerninfrastruktur wie OpenSSH oder glibc.
Ja	Verbreitetes Werkzeug	Apache Tomcat ist ein weit verbreiteter Java-Server, den viele Teams einsetzen.
Nein	Wird ausgenutzt	BSI WID: Die Warnung beschreibt Angriffsmöglichkeiten, meldet aber keine beobachteten Angriffe.
Nein	Exploit öffentlich	BSI WID: Es ist nur eine Sicherheitswarnung genannt, kein veröffentlichter Exploit.
Nein	Aus der Ferne, ohne Login	BSI WID: Ausnutzung wird genannt, aber Netzwerkzugriff ohne Anmeldung wird nicht ausdrücklich bestätigt.
Nein	Volle Übernahme	BSI WID: Genannt werden Denial of Service und Umgehung von Sicherheitsvorkehrungen, keine Codeausführung.
Nein	Geheimnisse offengelegt	BSI WID: Keine Offenlegung von Zugangsdaten, Daten oder Quellcode erwähnt.
Nein	Lieferkette	BSI WID: Es handelt sich um Schwachstellen im Connector, nicht um kompromittierte Pakete oder Updates.
Nein	Noch kein Fix	BSI WID: Der Eintrag ist ein UPDATE; eine fehlende Korrektur wird nicht genannt.

Zeitleiste

10. Nov.
BSI veröffentlicht Update der Warnung WID-SEC-2026-3559
10. Nov. · 11:05
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [hoch] Apache Tomcat APR/native Connector: Mehrere Schwachstellen

Quelle

[UPDATE] [hoch] Apache Tomcat APR/native Connector: Mehrere Schwachstellen ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 46 Min.

Zuerst gesehen vor 46 Min. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden