CVE-2026-11708: Cross-site scripting no sistema de ajuda do console administrativo do IBM WebSphere Application Server
A CVE-2026-11708 é uma falha de cross-site scripting (XSS) no sistema de ajuda integrado do console administrativo do IBM WebSphere Application Server 8.5 e 9.0. O registro do CNA da IBM atribui pontuação CVSS 3.1 de 9.3 (Crítica), com necessidade de interação do usuário. As fontes consultadas não mostram inclusão no catálogo KEV da CISA nem exploração confirmada, e o registro não lista uma versão corrigida explícita.
Visão geral
O registro do CNA descreve uma fraqueza de cross-site scripting (CWE-79) no sistema de ajuda integrado do console administrativo do IBM WebSphere Application Server nas versões 8.5 e 9.0. O aviso do fornecedor da IBM é a principal referência para detalhes de correção.
Impacto
De acordo com o vetor CVSS 3.1 atribuído pelo PSIRT da IBM, o vetor de ataque é de rede, não são exigidos privilégios, é necessária interação do usuário, o escopo é alterado e o impacto é alto para confidencialidade e integridade, sem impacto na disponibilidade. Em termos gerais, um XSS pode permitir que um script seja executado no contexto do navegador de um usuário que visualize a página afetada, o que pode incluir um administrador. Essa é uma inferência com base na classe da vulnerabilidade, não um resultado declarado no registro.
Produtos e versões afetados
- IBM WebSphere Application Server 8.5, a partir de 8.5.0.0 até antes de 8.5.5.31
- IBM WebSphere Application Server 9.0, a partir de 9.0.0.0 até antes de 9.0.5.29
O registro não lista versões corrigidas. Os limites superiores dos intervalos sugerem que 8.5.5.31 e 9.0.5.29 são as primeiras versões fora da faixa afetada, mas isso deve ser confirmado no aviso da IBM.
Situação de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada na natureza nas fontes consultadas. A probabilidade EPSS é de 0.00384, com percentil de 0.30591, datada de 2026-10-13.
Correção e mitigação
- Consulte a página de suporte da IBM em aviso de suporte da IBM e confirme o nível de correção aplicável à sua instalação.
- Planeje atualizações para níveis iguais ou superiores às versões fora das faixas afetadas, dando prioridade às implantações do console administrativo, pois o componente afetado faz parte da interface administrativa.
- Restrinja o acesso ao console administrativo a redes confiáveis e a administradores nomeados, e evite abrir links não confiáveis enquanto estiver autenticado nele.
- Quando a aplicação de correções for adiada, aplique os controles compensatórios recomendados pelo aviso do fornecedor.
Orientações de detecção
- Revise os logs do servidor web e do console administrativo em busca de requisições a caminhos da ajuda que contenham script ou marcação inesperada em parâmetros.
- Monitore sessões administrativas em busca de atividade incomum ou alterações de configuração que sigam navegação suspeita por administradores.
Limitações das informações disponíveis
O registro não fornece strings explícitas de versões corrigidas, os nomes exatos dos componentes de ajuda afetados, detalhes técnicos da falha nem soluções alternativas confirmadas pelo fornecedor. Os dados de CVSS vêm do PSIRT da IBM. Verifique todos os limites de versão e os passos de correção no aviso da IBM antes de agir.
Perguntas frequentes
Quais versões do IBM WebSphere são afetadas pela CVE-2026-11708?
O registro lista o IBM WebSphere Application Server a partir de 8.5.0.0 até antes de 8.5.5.31, e a partir de 9.0.0.0 até antes de 9.0.5.29.
A CVE-2026-11708 é conhecida por ser explorada?
O registro não mostra inclusão no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. Verifique o aviso da IBM e o KEV para atualizações posteriores.
O que os administradores devem fazer primeiro?
Consulte o aviso da IBM, confirme o nível de correção instalado em relação às faixas afetadas, priorize o console administrativo e restrinja o acesso a ele enquanto planeja as atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.