Tomcat Tribes 免认证 RCE 复现脚本公开

名为 cypherhippie 的研究者公开了针对 Apache Tomcat Tribes 集群 EncryptInterceptor 绕过漏洞 CVE-2026-34486 的 PoC 和一键复现脚本，声称可经 Java 反序列化实现免认证远程代码执行。 该复现针对受影响版本 11.0.19+、10.1.53+、9.0.116+，修复版本为 11.0.21、10.1.54、9.0.117。按公开说明，攻击流量以未加密形式发送至 Tribes 接收端 4000 端口，复现通过执行 bash run.sh 完成。上述免认证 RCE 效果来自公开复现项目的说法。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。