Apache Struts: Mehrere Schwachstellen ermöglichen Ausführen von beliebigem Programmcode mit den Rechten des Dienstes
WID-SEC-2026-3852 · première publication 25.04.2016 · mise à jour 12.10.2026 · CVSS 8,8
De quoi il s’agit
Struts ist ein Framework für Java-Anwendungen auf dem Webserver Apache. Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Apache Struts ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen.
Dans quelles conditions ?
Par le réseau, mais uniquement avec un accès valide (authentification requise), par exemple avec des identifiants volés ou en interne.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- beliebigen Programmcode mit den Rechten des Dienstes auszuführen
Suis-je concerné ?
Concernés selon le BSI :
- Apache Struts 2.0.0
- Apache Struts <2.3.20.2
- Apache Struts <2.3.24.2
- Apache Struts <2.3.28.1
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Apache Struts 2.3.20.2
- Apache Struts 2.3.24.2
- Apache Struts 2.3.28.1
La faille est-elle déjà exploitée ?
- CVE-2016-3081: exploitée dans la nature selon la CISA, au catalogue depuis le 08.10.2026.
- Selon un avis de la CISA, utilisée par des acteurs de Chine : Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data (10/2026)
Informations et sources
- Avis original du BSI (WID)
- Apache Software Foundation Security Bulletin S2-032 vom 2016-04-24 struts.apache.org
- Apache Software Foundation Security Bulletin S2-031 vom 2016-04-24 struts.apache.org
- Meldung auf cxsecurity vom 2016-05-01 cxsecurity.com
- CISA Known Exploited Vulnerabilities Catalog vom 2026-10-11 www.cisa.gov
CVE: CVE-2016-3081, CVE-2016-3082
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.