CVE Intelligence
Análise Assistido por IA

CVE-2026-11541: Contrabando de requisições HTTP (HTTP Request Smuggling) no IBM WebSphere Application Server e Liberty

A IBM publicou o CVE-2026-11541 em 30/06/2026 para uma falha de contrabando de requisições HTTP (CWE-444) que afeta o IBM WebSphere Application Server e o WebSphere Application Server Liberty. O NVD classifica a vulnerabilidade como crítica, com nota 9.8 no CVSS 3.1, enquanto a pontuação da própria IBM no registro é 7.4. O registro não informa versões corrigidas e não há exploração confirmada nas fontes consultadas.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

A IBM publicou um registro para uma fraqueza de contrabando de requisições HTTP (CWE-444) que afeta o IBM WebSphere Application Server e o WebSphere Application Server Liberty. O registro CVE foi publicado em 30/06/2026 pela IBM PSIRT como CNA. A única referência do fabricante no registro é a página de suporte da IBM.

Impacto

  • O contrabando de requisições HTTP ocorre quando componentes que tratam o mesmo tráfego HTTP interpretam de forma diferente os limites entre requisições, o que pode permitir que requisições sejam processadas de maneira não prevista.
  • O NVD classifica o problema com nota 9.8 (Crítica) no CVSS 3.1, com vetor de rede, sem necessidade de privilégios e sem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade.
  • A pontuação da IBM no registro, também no CVSS 3.1, é 7.4. As duas pontuações divergem, e o registro não explica o motivo.

Produtos e versões afetadas

  • Os dados estruturados listam o IBM WebSphere Application Server com estas faixas: 8.5.0.0 até abaixo de 8.5.5.31, 9.0.0.0 até abaixo de 9.0.5.29, e 17.0.0.3 a 26.0.0.6.
  • A descrição também cita o IBM CICS Transaction Gateway for Multiplatforms 9.1, 9.2, 9.3 e 10.1. Esses produtos não aparecem na lista estruturada de afetados, por isso a situação deve ser confirmada com a IBM.

Status de exploração

  • O registro indica que a vulnerabilidade não consta na lista KEV da CISA (valor falso). Não há exploração confirmada nas fontes consultadas.
  • A probabilidade EPSS é 0.00417 (percentil 0.34212), com data de 13/10/2026.

Correção e mitigação

  • Compare as versões instaladas de WebSphere e Liberty com as faixas acima e revise o boletim da IBM.
  • O registro não informa versões corrigidas. Confirme diretamente com a IBM o nível de correção disponível antes de planejar a mudança.
  • Enquanto a correção não for aplicada, revise os proxies reversos e balanceadores de carga à frente desses servidores e garanta que interpretem e encaminhem requisições HTTP de forma consistente.

Orientações de detecção

  • Observe tratamento inconsistente dos cabeçalhos Content-Length e Transfer-Encoding entre componentes de borda e servidores de aplicação.
  • Revise logs em busca de respostas inesperadas do back-end, sinais de dessincronização de requisições e padrões incomuns em conexões compartilhadas.

Limitações das informações disponíveis

  • O registro não inclui o texto do boletim da IBM, versões corrigidas nem detalhes técnicos além da classificação CWE.
  • O conflito entre a lista de produtos da descrição e a lista estruturada de afetados não está resolvido.
  • As duas pontuações CVSS 3.1 divergem e o motivo não é informado.

Perguntas frequentes

Qual é a fraqueza principal do CVE-2026-11541?

O registro a classifica como CWE-444, contrabando de requisições HTTP, que ocorre quando componentes interpretam de forma diferente os limites das requisições HTTP.

Existe uma versão corrigida confirmada?

O registro não informa versões corrigidas. Consulte a página de suporte da IBM ou entre em contato com a IBM para confirmar o nível de correção da sua versão instalada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.