CISA добави отдавна известна уязвимост в Apache Struts, проследявана като CVE-2016-3081, към своя каталог с известни експлоатирани уязвимости (KEV), след като потвърди, че атакуващи я използват в реални атаки.

Проблемът представлява уязвимост за инжектиране на команди в Apache Struts, която може да позволи на отдалечен атакуващ да изпълни код на уязвим сървър, когато функцията Dynamic Method Invocation е активирана.

CISA добави уязвимостта на 8 октомври 2026 г. и даде срок на федералните граждански агенции на САЩ до 11 октомври да я отстранят съгласно задължителната оперативна директива Binding Operational Directive 26-04.

Агенцията също така отбеляза, че уязвимостта изисква криминалистичен анализ (forensic triage), което означава, че засегнатите организации не трябва да разглеждат инсталирането на корекции за сигурност като единствена задача. Екипите по сигурност трябва също така да проверят дали атакуващи не са осъществили вече достъп до изложените системи.

Apache Struts е широко използвана Java рамка за изграждане на уеб приложения. Успешното експлоатиране на CVE-2016-3081 може да позволи на атакуващ да изпрати специално създадена заявка към засегнато приложение и да изпълни команди на базовия сървър.

Това ниво на достъп може да позволи кражба на данни, внедряване на зловреден софтуер, събиране на идентификационни данни или използване на сървъра като отправна точка за проникване в други части на мрежата. Недостатъкът е класифициран като CWE-77, което обхваща случаи, при които ненадеждни входни данни могат да достигнат до командния интерпретатор на операционната система.

Проблемът е свързан с функцията Dynamic Method Invocation (DMI) в Apache Struts. Когато е активирана, атакуващ може да злоупотреби с префикса на метода в заявка, за да предизвика изпълнение на произволен код.

Уязвимост за инжектиране на команди в Apache Struts, експлоатирана при атаки

Документацията на Apache и записите за уязвимости идентифицират засегнатите версии на Struts 2 като 2.3.19 до 2.3.20.2, 2.3.21 до 2.3.24.1 и 2.3.25 до 2.3.28, при които DMI е включена. Коригираните версии включват 2.3.20.3, 2.3.24.3 и 2.3.28.1.

Въпреки че уязвимостта беше разкрита за първи път през 2016 г., включването ѝ в каталога на CISA показва, че старите приложения с достъп до интернет остават привлекателни мишени за авторите на заплахи. Неподдържаният софтуер, непълният опис на активите и забравените сървъри за приложения често оставят известни слабости отворени с години.

Организациите трябва да идентифицират всяко внедряване на Apache Struts, да потвърдят версията му, да определят дали DMI е активирана и да проверят дали приложението е достъпно от интернет.

CISA заявява, че организациите трябва да използват нейния каталог KEV, за да приоритизират управлението на уязвимостите, тъй като той проследява уязвимости, за които е известно, че се експлоатират активно.

За засегнатите среди приоритетът е да се надстрои до коригирана версия на Apache Struts или да се приложат препоръчаните от разработчика мерки за смекчаване на риска.

Екипите, които не могат да инсталират корекции за сигурност незабавно, трябва да деактивират Dynamic Method Invocation, където е възможно, да ограничат публичния достъп до приложението и да поставят системата зад подходящи мрежови контроли, докато подготвят постоянно решение.

Организациите, използващи облачни услуги, трябва също така да попитат доставчиците си дали техните внедрявания разчитат на уязвими компоненти на Struts.

Тъй като CISA изисква криминалистичен анализ за този запис, защитниците трябва да прегледат журналите на уеб сървъра и приложенията за необичайни заявки, съдържащи стойности method:, неочаквани дъщерни процеси от Java услуги, нови планирани задачи, подозрителен изходящ трафик или промени във файловете на уеб приложенията.

Екипите за реагиране при инциденти трябва да запазят съответните журнали, преди да правят големи промени, тъй като доказателствата могат да помогнат да се потвърди дали е настъпило компрометиране и какви действия са последвали.

Официалният каталог CISA KEV и записът за CVE-2016-3081 остават ключови източници за експертите по сигурност, проследяващи този активно експлоатиран дефект в Apache Struts.