Apache Struts: Mehrere Schwachstellen ermöglichen Ausführen von beliebigem Programmcode mit den Rechten des Dienstes
WID-SEC-2026-3852 · primera publicación 25.04.2016 · actualizado 12.10.2026 · CVSS 8,8
De qué se trata
Struts ist ein Framework für Java-Anwendungen auf dem Webserver Apache. Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Apache Struts ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen.
¿En qué condiciones?
A través de la red, pero solo con un acceso válido (requiere iniciar sesión), por ejemplo con credenciales robadas o desde dentro.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Programmcode mit den Rechten des Dienstes auszuführen
¿Me afecta?
Afectados según el BSI:
- Apache Struts 2.0.0
- Apache Struts <2.3.20.2
- Apache Struts <2.3.24.2
- Apache Struts <2.3.28.1
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Apache Struts 2.3.20.2
- Apache Struts 2.3.24.2
- Apache Struts 2.3.28.1
¿Se está explotando ya la vulnerabilidad?
- CVE-2016-3081: explotada en la práctica según la CISA, en el catálogo desde el 08.10.2026.
- Según un aviso de la CISA, utilizada por actores de China: Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data (10/2026)
Información y fuentes
- Aviso original del BSI (WID)
- Apache Software Foundation Security Bulletin S2-032 vom 2016-04-24 struts.apache.org
- Apache Software Foundation Security Bulletin S2-031 vom 2016-04-24 struts.apache.org
- Meldung auf cxsecurity vom 2016-05-01 cxsecurity.com
- CISA Known Exploited Vulnerabilities Catalog vom 2026-10-11 www.cisa.gov
CVE: CVE-2016-3081, CVE-2016-3082
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.