{"id":6104,"date":"2026-10-09T08:29:55","date_gmt":"2026-10-09T13:29:55","guid":{"rendered":"https:\/\/cert.pa\/?p=6104"},"modified":"2026-10-12T13:31:45","modified_gmt":"2026-10-12T18:31:45","slug":"csirt-panama-aviso-2026-oct-8-vulnerabilidad-alta-en-apache-struts-que-permite-ejecucion-remota-de-codigo-cve-2016-3081","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6104","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-8: Vulnerabilidad Alta en Apache Struts que permite ejecuci\u00f3n remota de c\u00f3digo \u2014 CVE-2016-3081"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 8 de octubre de 2026
CVE ID:<\/strong> CVE-2016-3081
Severidad:<\/strong> ALTA \u2014 CVSS 3.0: 8.1 (prioridad de atenci\u00f3n: CR\u00cdTICA por explotaci\u00f3n activa)
Vector CVSS:<\/strong> CVSS:3.0\/AV:N\/AC:H\/PR:N\/UI:N\/S:U\/C:H\/I:H\/A:H
Tipo de vulnerabilidad:<\/strong> CWE-77: Inyecci\u00f3n de comandos
Producto afectado:<\/strong> Apache Struts 2 (con Dynamic Method Invocation habilitado)
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Incluida en el cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities) desde el 8 de octubre de 2026 (fecha l\u00edmite CISA: 11 de octubre de 2026)
Fuente:<\/strong> NVD \/ CISA \/ Apache Software Foundation (bolet\u00edn S2-032)
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad de inyecci\u00f3n de comandos en Apache Struts 2, registrada como CVE-2016-3081 (bolet\u00edn del fabricante S2-032) y calificada con 8.1 de 10 en la escala CVSS 3.0. Cuando la funci\u00f3n Dynamic Method Invocation (DMI) est\u00e1 habilitada, un atacante remoto no autenticado puede enviar expresiones OGNL mediante el prefijo method:<\/code> en una petici\u00f3n HTTP y lograr la ejecuci\u00f3n remota de c\u00f3digo en el servidor de aplicaciones.<\/p>\n\n\n\n

El 8 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorpor\u00f3 a su cat\u00e1logo de Known Exploited Vulnerabilities (KEV), lo que confirma que est\u00e1 siendo explotada activamente. Existen exploits p\u00fablicos desde 2016, incluido un m\u00f3dulo de Metasploit.<\/p>\n\n\n\n

El modelo EPSS estima en 93 % la probabilidad de que sea explotada en los pr\u00f3ximos 30 d\u00edas.<\/p>\n\n\n\n

Descripci\u00f3n t\u00e9cnica publicada en NVD (en ingl\u00e9s): \u00abApache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.\u00bb<\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Producto<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
Apache Struts 2<\/td>2.3.19 a 2.3.20.2<\/td>2.3.20.3<\/td><\/tr>
Apache Struts 2<\/td>2.3.21 a 2.3.24.1<\/td>2.3.24.3<\/td><\/tr>
Apache Struts 2<\/td>2.3.25 a 2.3.28<\/td>2.3.28.1<\/td><\/tr>
Productos de terceros que incorporan Struts (p. ej., Oracle Siebel, productos Huawei)<\/td>Seg\u00fan el aviso de cada fabricante<\/td>Oracle Critical Patch Update de julio y octubre de 2016; aviso Huawei SA-20160527-01<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Nota: la rama 2.3.x de Struts est\u00e1 fuera de soporte. Se recomienda migrar a la rama soportada m\u00e1s reciente publicada por Apache.<\/p>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar inmediatamente<\/strong>
Actualizar Apache Struts a 2.3.20.3, 2.3.24.3 o 2.3.28.1 (o, preferiblemente, a una rama soportada), seg\u00fan el bolet\u00edn S2-032 del fabricante.<\/p>\n\n\n\n

2. Mitigar inmediatamente si no es posible parchear<\/strong>
Deshabilitar Dynamic Method Invocation estableciendo <constant name=\"struts.enable.DynamicMethodInvocation\" value=\"false\"\/><\/code> en struts.xml<\/code>, y reiniciar la aplicaci\u00f3n. Restringir el acceso desde Internet a la aplicaci\u00f3n afectada y, si se dispone de WAF, bloquear peticiones con par\u00e1metros que comiencen por method:<\/code> o contengan expresiones OGNL (%23<\/code>, #_memberAccess<\/code>, @java.lang.Runtime@<\/code>).<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
El parche cierra el vector de explotaci\u00f3n, pero no elimina un acceso que el atacante ya haya obtenido. No se han publicado indicadores de compromiso (IoC) oficiales asociados a esta inclusi\u00f3n en KEV. Como indicadores de detecci\u00f3n, revisar:<\/p>\n\n\n\n