Tomcat : le registre est daté du 12, chaque fiche dit publique le 20
Les pages 11, 10 et 9 titrent 2026-10-12. Les sept, six et sept fiches disent rendues publiques le 20 octobre. L'AJP n'est que sur la 11. Le TOCTOU n'est que sur la 9. La page 10 envoie encore chercher le mode d'emploi de la 10.0, morte depuis le 31 octobre 2022.
Trois registres sont ouverts sur le même bureau, et le haut de la page dit la même chose : 2026-10-12. Juste sous ce titre, chaque fiche écrit que le problème a été rendu public le 20 October 2026. Le 12 est le jour du classeur. Le 20 est le jour de la phrase. Si tu notes « corrigé le 12 », tu notes le titre. Si tu notes « public le 20 », tu notes le corps. Les deux sont imprimés. Ce n'est pas le même jour, et les trois registres n'ont pas le même nombre de lignes.
La page 11, section Fixed in Apache Tomcat 11.0.27, aligne sept fiches. La page 10, 10.1.61, en aligne six. La page 9, 9.0.123, en aligne sept, et ce sept-là n'est pas celui de la 11. Deux numéros ne traversent pas les trois tiroirs. Le reste traverse, avec des plages qui ne se recopient pas.
Une ligne n'est que dans le tiroir 11, une autre que dans le tiroir 9
CVE-2026-103119, Important, n'est que sur la 11. Mélange de réponses AJP : une sous-lecture de tampon peut couper le corps d'une grosse écriture non bloquante entre la requête en cours et la suivante sur la même connexion, avec en général l'échec de la seconde et parfois une fuite du premier corps vers elle. Commit f13748ba. Signalé le 16 September 2026. Public le 20 October 2026. Affecte 11.0.0-M25 to 11.0.26. Les pages 10 et 9, dans cette section du 12 octobre, n'ont pas ce numéro. Je ne dis pas que leurs binaires sont indemnes. Je dis que le registre ne l'imprime pas.
CVE-2026-80353, Low, n'est que sur la 9. Le titre : TOCTOU when setting specific permissions for Unix Domain Sockets - Fix for CVE-2026-65183 did not address APR connector. Une course à la création d'une socket de domaine Unix permettait à un utilisateur local non autorisé d'y accéder. Commit 894158fd. Signalé le 26 August 2026. Public le 20 octobre, comme les autres. Affecte 9.0.47 to 9.0.122. Les pages 11 et 10 ne l'ont pas dans la section du 12 octobre.
Les six qui traversent n'ont pas la même plage
CVE-2026-101356, Important, mélange requête et réponse HTTP/2 après une erreur pendant un traitement asynchrone. Signalé le 16 septembre, public le 20 octobre. Plages : 11.0.22 to 11.0.26, 10.1.55 to 10.1.60, 9.0.118 to 9.0.122.
CVE-2026-101296, Important, validation du mot de passe JNDIRealm qui s'ouvre en cas d'échec pour un mécanisme SASL autre que GSSAPI. La phrase, sur les trois pages : un attaquant peut s'authentifier sans le bon mot de passe quand le royaume JNDI est configured with with a non GSSAPI SASL authentication mechanism. Deux fois with. non GSSAPI sans trait d'union. Je ne corrige pas. Signalé le 14 September 2026. Plages : 11.0.0-M1 to 11.0.26, 10.1.0-M1 to 10.1.60, 9.0.0.M1 to 9.0.122. Le milestone de la 9 a des points. Ceux de la 10 et de la 11 ont un trait d'union.
Puis quatre Low sur la 11 et la 10, cinq sur la 9 si tu comptes le 80353 déjà posé. CVE-2026-93446, échecs intermittents de connexions TLS 1.3. Signalé le 9 September 2026. Plages : 11.0.0-M21 to 11.0.26, 10.1.25 to 10.1.60, 9.0.90 to 9.0.122. CVE-2026-88041, des informations de trailer d'une requête précédente fuient dans la suivante. La phrase dit an trailer information. Signalé le 7 September 2026. Plages : 11.0.0-M23 to 11.0.26, 10.1.27 to 10.1.60, 9.0.92 to 9.0.122.
CVE-2026-74049, le remplacement Jasper du <c:redirect> ne termine pas tout de suite le traitement, et le reste de la page s'exécute malgré la redirection. La balise est dans le HTML, dans le titre et dans la phrase. Signalé le 13 August 2026. Plages : 11.0.0-M1 to 11.0.26, 10.1.0-M1 to 10.1.60, 9.0.0.M1 to 9.0.122. CVE-2026-74048, si le mode FIPS d'OpenSSLLifecycleListener ne s'active pas, Tomcat logs and error et continue en JSSE hors FIPS. logs and error, pas « an error ». Même 13 août. Plages : 11.0.0-M14 to 11.0.26, 10.1.22 to 10.1.60, 9.0.92 to 9.0.122.
Les commits ne sont pas les mêmes d'une page à l'autre. Je ne les ai pas ouverts. La page dit qu'ils corrigent. Elle ne me fait pas lire le diff.
Le mode d'emploi de la page 10 pointe vers une branche qu'elle dit morte
Le paragraphe du haut de la page 10 dit que Tomcat 10.0.x has reached end of life et n'est plus supporté. Les failles signalées after 31 October 2022 n'ont pas été vérifiées sur la branche 10.0.x et ne seront pas corrigées. Il faut passer à 10.1.x or later. Un autre paragraphe, le même sur les trois pages pour l'idée, dit qu'on ne fournit jamais de correctif binaire, et qu'il faut les instructions de construction de la version qu'on utilise. Sur la 11 : For Tomcat 11.0.x. Sur la 9 : For Tomcat 9.0, sans .x. Sur la 10 : For Tomcat 10.0.x. La page qui annonce la mort de la 10.0 au 31 octobre 2022 envoie encore chercher building.html et BUILDING.txt pour cette 10.0.x. Le dernier titre du sommaire, lui, est 10.1.61. Je n'ai pas ouvert le fichier. Je dis que la phrase d'intro nomme la branche que l'autre phrase enterre.
✍️ À toi : le registre que tu as eu en main, 11, 10 ou 9, et le jour que tu as noté. Le 12 octobre est le titre. Le 20 octobre est la ligne « made public ». L'AJP n'est imprimé que sur la 11. Le TOCTOU n'est imprimé que sur la 9.
Le 12 octobre 2026 est le jour écrit en tête des trois sections. Le 20 octobre 2026 est le jour écrit dans chaque fiche. Sept lignes, puis six, puis sept. Le 103119 ne sort pas du tiroir 11. Le 80353 ne sort pas du tiroir 9. Et la page 10, qui date la fin de la 10.0 du 31 octobre 2022, donne encore le mode d'emploi de cette 10.0.x à côté d'un correctif numéroté 10.1.61.