【极危预警】Apache Tomcat 核心 Servlet 引擎并发条件竞争远程代码执行高危漏洞（CVE-2026-2481）通报

【漏洞概述】
Apache 软件基金会官方发布最高评级紧急安全公告，披露了存在于 Apache Tomcat 核心 Servlet 容器与 HTTP/2 流解析管道中的严重并发竞态条件漏洞（CVE-2026-2481，CVSSv3 评分高达 9.8）。
该缺陷源于高并发场景下，Tomcat 工作线程池在回收与复用底层网络缓冲区时，存在时间差检查（TOCTOU）与对象生命周期解构缺陷。
未经身份验证的远程攻击者向开启了 HTTP/2 或异步 Servlet 的 Tomcat 端口发送高度并发的畸形帧数据，可诱发堆内存指针越界复用，进而劫持线程执行流实现远程任意系统代码执行。

【危害级别与研判】
极危（CVSS 评分 9.8）。Tomcat 广泛作为各类政企核心业务、微服务架构与大中型门户的底层 Web 容器，公网直接暴露量巨大，实网利用价值极高。

【受影响版本范围】
• Apache Tomcat 11.0.0 至 11.0.2
• Apache Tomcat 10.1.0 至 10.1.34
• Apache Tomcat 9.0.0 至 9.0.98

【自查排查指引】
1. 检查服务器部署目录下的 `bin/version.sh` 或 `catalina.jar` 的 MANIFEST.MF 查看当前 Tomcat 构建号；
2. 排查反向代理（如 Nginx / WAF）至 Tomcat 后端的长连接与异步请求日志，关注短时间内来自单一源 IP 的密集畸形 HTTP/2 HEADERS 帧；

【修复处置建议】
1. 【官方补丁】：立即升级 Tomcat 至官方已修复构建分支（Tomcat 11.0.3+、10.1.35+、9.0.99+）；
2. 【临时缓解措施】：若无法立即停机升级，可在 `server.xml` 中暂时关闭 HTTP/2 Connector 配置，退回标准 HTTP/1.1 模式；
3. 【鸿煌科技服务】：鸿煌科技已推出针对企业集群 Tomcat 资产的无感热巡检脚本，支持快速定性与加固。