Apache Struts CVE-2016-3081: execuție de cod prin DMI, în KEV

Pe 8 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) CVE-2016-3081, o vulnerabilitate din Apache Struts 2, framework-ul Java pentru aplicații web. Când funcția Dynamic Method Invocation (DMI) este activă, un atacator de la distanță, fără autentificare, poate executa cod arbitrar pe server prin prefixul method: din cereri.

Vulnerabilitatea nu este nouă: a fost publicată în aprilie 2016. Catalogul KEV însă reunește vulnerabilitățile pentru care CISA are dovezi de exploatare activă. Includerea în catalog este deci un semnal concret dacă mai ai în producție aplicații Struts care nu au fost niciodată actualizate.

Ce s-a întâmplat

CISA a inclus CVE-2016-3081 în KEV ca „Apache Struts Command Injection Vulnerability” și a stabilit 11 octombrie 2026 ca termen pentru agențiile federale americane: trei zile, un interval foarte scurt. În catalog, utilizarea în campanii ransomware este marcată ca „necunoscută”.

Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele CISA de triaj criminalistic. Dacă nu există măsuri de atenuare, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la Internet a fiecărui sistem.

CISA nu oferă detalii despre atacurile observate, autori sau victime.

Detalii tehnice

• CVE: CVE-2016-3081, publicată pe 26 aprilie 2016. Fișa NVD a fost actualizată pe 9 octombrie 2026.
• Versiuni afectate, conform descrierii: Apache Struts de la 2.3.19 la 2.3.20.2, de la 2.3.21 la 2.3.24.1 și de la 2.3.25 la 2.3.28, doar când Dynamic Method Invocation este activ.
• Configurații CPE: lista din fișa NVD cuprinde în schimb versiuni din ramurile 2.0, 2.1, 2.2 și 2.3, de la 2.0.0 la 2.3.14. Cele două indicații nu coincid: e prudent să consideri la risc orice Struts 2 din acea perioadă până când buletinul producătorului nu spune altceva.
• Vector: rețea, prin cereri HTTP care folosesc prefixul method:, legat de expresiile înlănțuite (chained expressions). Rezultatul este execuția de cod cu privilegiile aplicației web.
• Gravitate: CVSS 3.1 8.1 (ridicată), AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Atacul are loc prin rețea, nu necesită privilegii sau interacțiunea utilizatorului și afectează confidențialitatea, integritatea și disponibilitatea; complexitatea este clasificată ca ridicată. CVSS 2: 9.3 (ridicată).
• Slăbiciune: CWE-77 (injecție de comenzi).
• Buletinul producătorului: fișa NVD trimite la buletinul S2-032 al Apache Struts, marcat ca aviz al producătorului și corecție.
• Cod public: printre referințele fișei NVD apar o pagină Packet Storm intitulată „Apache Struts 2.3.28 Dynamic Method Invocation Remote Code Execution”, o intrare Exploit-DB și două module de exploit catalogate de Rapid7 (struts_dmi_exec).
• Produse terțe: fișa NVD include și avizele Oracle (Critical Patch Update din iulie și octombrie 2016) și Huawei. Struts este deci inclus și în produsele altor furnizori, care au publicat propriile corecții.
• MITRE ATT&CK: T1190 (Exploit Public-Facing Application).

Impactul pentru companiile europene și italiene

Ani la rând, Struts 2 a fost o alegere obișnuită pentru aplicațiile web Java: portaluri, aplicații de gestiune și servicii interne dezvoltate la comandă. Multe dintre aceste aplicații rămân mult timp în producție, adesea cu bibliotecile cu care au fost livrate. În plus, framework-ul poate fi inclus în produse terțe fără ca acest lucru să fie evident, după cum arată avizele Oracle și Huawei.

Execuția de cod pe serverul aplicației este un punct de intrare complet: de acolo un atacator poate citi datele gestionate de aplicație și credențialele de acces la bazele de date și se poate deplasa spre restul rețelei.

Pentru entitățile NIS2, gestionarea vulnerabilităților și securitatea aplicațiilor fac parte din măsurile cerute de directivă. O compromitere care pornește de la o aplicație expusă poate deveni un incident de evaluat pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN.

Ce să faci acum

1. Fă inventarul: identifică aplicațiile web Java care includ Struts 2, inclusiv cele dezvoltate la comandă, cele ale furnizorilor și produsele terțe. Caută bibliotecile Struts în arhivele aplicațiilor instalate pe servere.
2. Verifică versiunile și configurația: conform descrierii, instalările afectate sunt cele din versiunile indicate, cu Dynamic Method Invocation activ. Verifică configurația fiecărei aplicații și ține cont de diferența față de lista CPE.
3. Actualizează sau atenuează: aplică corecțiile și indicațiile din buletinul S2-032 al Apache Struts. Dacă mai găsești ramuri Struts din acea perioadă, ia în calcul trecerea la o versiune încă susținută de producător.
4. Pentru produsele terțe, urmează buletinul furnizorului. Dacă nu există o corecție, CISA indică scoaterea produsului din uz.
5. Redu expunerea: verifică ce aplicații Struts sunt accesibile din Internet și dacă acest lucru este cu adevărat necesar.
6. Detectează: caută în jurnalele serverului web și ale aplicației cererile cu parametri care încep cu method:. Pentru aplicațiile care au fost expuse și vulnerabile, începe un triaj criminalistic al serverului, așa cum cere CISA.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet și le scoate în evidență pe cele deja exploatate de atacatori, cum sunt CVE-urile din catalogul KEV. ARX Expose verifică serviciile pe care compania ta le expune pe Internet și vulnerabilitățile cunoscute ale produselor recunoscute. ARX Sentry colectează jurnale și evenimente de pe servere, iar ARX Trace ajută la triaj cu colectările de artefacte și modificările fișierelor de pe mașinile suspecte.

Ultima actualizare: 8 octombrie 2026