CVE-2026-11546: IBM WebSphere Application Server Liberty: SSRF

Visão geral

A CVE-2026-11546 é uma falsificação de requisição do lado do servidor (SSRF, CWE-918) que afeta o IBM WebSphere Application Server Liberty. O registro indica o problema nas versões de 17.0.0.3 até 26.0.0.7 quando o recurso adminCenter-1.0 está habilitado.

Impacto

Uma SSRF pode levar um servidor a fazer requisições para destinos escolhidos por um agente remoto, o que pode expor serviços internos ou metadados.
O NVD classifica o vetor base como alcançável pela rede, de baixa complexidade, sem privilégios e sem interação do usuário, com impacto alto em confidencialidade, integridade e disponibilidade (CVSS 3.1, pontuação 9.8).
O PSIRT da IBM aparece com pontuação 7.1 no registro. A diferença entre os avaliadores deve ser analisada no aviso do fabricante.

Produtos e versões afetados

IBM WebSphere Application Server Liberty, versões de 17.0.0.3 até 26.0.0.7 conforme a descrição, com o recurso adminCenter-1.0 habilitado.
O registro expressa a faixa afetada como 17.0.0.3 ou superior e inferior a 26.0.0.8.
Nenhuma versão corrigida consta no registro. Consulte o aviso da IBM para confirmar o nível de correção da sua linha de versão.

Status de exploração

O registro não indica a inclusão desta vulnerabilidade no catálogo KEV da CISA.
Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Verifique se o recurso adminCenter-1.0 está habilitado nos servidores Liberty do seu inventário e desabilite-o onde não for necessário para reduzir a exposição.
Revise o aviso de segurança da IBM e aplique a correção ou atualização fornecida pelo fabricante para a sua linha de versão.
Restrinja o acesso de rede às interfaces administrativas e limite conexões de saída dos servidores de aplicação quando viável.

Orientações de detecção

Mantenha um inventário das instalações Liberty e de suas configurações de recursos, incluindo se o adminCenter-1.0 está ativo.
Monitore requisições de saída inesperadas partindo dos servidores de aplicação, especialmente para faixas de endereços internos ou endpoints de metadados de nuvem.
Revise os logs de acesso às interfaces administrativas em busca de padrões de requisição incomuns.

Limitações das informações disponíveis

O registro não inclui versões corrigidas, detalhes técnicos da falha nem as condições exatas em que a SSRF é alcançável.
Os valores de EPSS são estimativas probabilísticas, e a data de EPSS do registro (2026-10-13) deve ser verificada no feed atual.
As pontuações diferem entre os fornecedores, e o registro não explica essa diferença.

Perguntas frequentes

A CVE-2026-11546 está sendo explorada ativamente?

O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O monitoramento deve continuar, pois o status pode mudar.

Quais versões do Liberty são afetadas?

A descrição indica as versões de 17.0.0.3 até 26.0.0.7 com o recurso adminCenter-1.0 habilitado. O registro não lista versão corrigida, então o aviso da IBM deve ser consultado para os níveis de correção.

O que os administradores devem fazer primeiro?

Identifique os servidores Liberty com o adminCenter-1.0 habilitado, compare-os com o aviso da IBM e desabilite o recurso onde não for necessário enquanto planejam as atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.