Fecha de emisión: 8 de octubre de 2026
CVE ID: CVE-2016-3081
Severidad: ALTA — CVSS 3.0: 8.1 (prioridad de atención: CRÍTICA por explotación activa)
Vector CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Tipo de vulnerabilidad: CWE-77: Inyección de comandos
Producto afectado: Apache Struts 2 (con Dynamic Method Invocation habilitado)
Explotación activa: Sí — Incluida en el catálogo CISA KEV (Known Exploited Vulnerabilities) desde el 8 de octubre de 2026 (fecha límite CISA: 11 de octubre de 2026)
Fuente: NVD / CISA / Apache Software Foundation (boletín S2-032)
Clasificación TLP: TLP:CLEAR (Difusión pública)
I. Descripción
Se ha identificado una vulnerabilidad de inyección de comandos en Apache Struts 2, registrada como CVE-2016-3081 (boletín del fabricante S2-032) y calificada con 8.1 de 10 en la escala CVSS 3.0. Cuando la función Dynamic Method Invocation (DMI) está habilitada, un atacante remoto no autenticado puede enviar expresiones OGNL mediante el prefijo method: en una petición HTTP y lograr la ejecución remota de código en el servidor de aplicaciones.
El 8 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de Known Exploited Vulnerabilities (KEV), lo que confirma que está siendo explotada activamente. Existen exploits públicos desde 2016, incluido un módulo de Metasploit.
El modelo EPSS estima en 93 % la probabilidad de que sea explotada en los próximos 30 días.
Descripción técnica publicada en NVD (en inglés): «Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.»
II. Productos Afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Apache Struts 2 | 2.3.19 a 2.3.20.2 | 2.3.20.3 |
| Apache Struts 2 | 2.3.21 a 2.3.24.1 | 2.3.24.3 |
| Apache Struts 2 | 2.3.25 a 2.3.28 | 2.3.28.1 |
| Productos de terceros que incorporan Struts (p. ej., Oracle Siebel, productos Huawei) | Según el aviso de cada fabricante | Oracle Critical Patch Update de julio y octubre de 2016; aviso Huawei SA-20160527-01 |
Nota: la rama 2.3.x de Struts está fuera de soporte. Se recomienda migrar a la rama soportada más reciente publicada por Apache.
III. Acciones Requeridas
1. Actualizar inmediatamente
Actualizar Apache Struts a 2.3.20.3, 2.3.24.3 o 2.3.28.1 (o, preferiblemente, a una rama soportada), según el boletín S2-032 del fabricante.
2. Mitigar inmediatamente si no es posible parchear
Deshabilitar Dynamic Method Invocation estableciendo <constant name="struts.enable.DynamicMethodInvocation" value="false"/> en struts.xml, y reiniciar la aplicación. Restringir el acceso desde Internet a la aplicación afectada y, si se dispone de WAF, bloquear peticiones con parámetros que comiencen por method: o contengan expresiones OGNL (%23, #_memberAccess, @java.lang.Runtime@).
3. Verificar posible compromiso
El parche cierra el vector de explotación, pero no elimina un acceso que el atacante ya haya obtenido. No se han publicado indicadores de compromiso (IoC) oficiales asociados a esta inclusión en KEV. Como indicadores de detección, revisar:
- Registros del servidor web/proxy con parámetros
method:seguidos de expresiones OGNL (p. ej.,method:%23_memberAccess,DEFAULT_MEMBER_ACCESS,getRuntime().exec). - Procesos hijos inesperados del servidor de aplicaciones Java (Tomcat, JBoss, WebLogic) como
sh,bash,cmd.exe,powershell.exe,wgetocurl. - Archivos JSP/webshells nuevos en el directorio de la aplicación, cuentas nuevas, tareas programadas y conexiones salientes no habituales.
Reportar cualquier hallazgo a incidentes@cert.pa.
IV. Referencias
- Apache Software Foundation. Security Bulletin S2-032. https://cwiki.apache.org/confluence/display/WW/S2-032
- Oracle. Critical Patch Update – julio 2016. http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html
- Oracle. Critical Patch Update – octubre 2016. http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.html
- Huawei PSIRT. Security Advisory SA-20160527-01. http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20160527-01-struts2-en
- Packet Storm. Apache Struts 2.3.28 DMI Remote Code Execution (exploit). http://packetstormsecurity.com/files/136856/
- National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2016-3081. https://nvd.nist.gov/vuln/detail/CVE-2016-3081
- CISA. Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog
V. Información de Contacto
CSIRT PANAMÁ · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124