CVE-2026-11712: XSS no sistema de ajuda do console administrativo do IBM WebSphere Application Server

Visão geral

A IBM publicou um aviso do fornecedor para uma falha de cross-site scripting (XSS) no sistema de ajuda do console administrativo do IBM WebSphere Application Server 8.5 e 9.0. O registro classifica a falha como CWE-79. Esse tipo de problema pode permitir que scripts controlados por um atacante sejam executados no navegador da vítima quando a página vulnerável é exibida.

Impacto

A pontuação base CVSS 3.1 de 9.3 foi informada pelo CNA (psirt@us.ibm.com), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N.
O vetor indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, necessidade de interação do usuário, escopo alterado, alto impacto na confidencialidade e na integridade e nenhum impacto na disponibilidade.
Na prática, a vítima precisa interagir com conteúdo preparado. A mudança de escopo sugere que o impacto pode ir além do componente vulnerável.

Produtos e versões afetados

IBM WebSphere Application Server, versões de 8.5.0.0 até antes de 8.5.5.31.
IBM WebSphere Application Server, versões de 9.0.0.0 até antes de 9.0.5.29.
A lista de correções do registro está vazia. Os limites acima são os intervalos registrados, então confirme o nível exato de correção no aviso da IBM.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas.
Estimativa EPSS: probabilidade 0,00384 e percentil 0,30591, com data de 2026-10-13. Trata-se de uma estimativa estatística de probabilidade, e não de confirmação de exploração.

Correção e mitigação

Consulte o boletim de segurança da IBM citado nas referências e identifique o nível corrigido para a sua linha de release.
Planeje a atualização ou a instalação de fix pack nas instalações 8.5 e 9.0 afetadas, priorizando consoles acessíveis pela internet ou muito utilizados.
Até a correção, restrinja o acesso ao console administrativo a redes e administradores confiáveis e reduza a exposição do sistema de ajuda sempre que possível.
Oriente os administradores a não abrir links não confiáveis enquanto estiverem autenticados no console.

Orientações de detecção

Em nível geral, revise os logs de acesso do servidor web e do console em busca de requisições incomuns para caminhos do sistema de ajuda ou parâmetros com conteúdo semelhante a script.
Monitore ações administrativas inesperadas que ocorram após interações do usuário com páginas do console.
Mantenha um inventário das versões do WebSphere para identificar rapidamente as instâncias afetadas.

Limitações das informações disponíveis

O registro não descreve o parâmetro vulnerável, os pré-requisitos de exploração além do vetor CVSS, nem os números de versão corrigidos específicos.
O registro não informa se o sistema de ajuda está habilitado por padrão ou na sua configuração.
Esta análise se baseia apenas nas referências do NVD, do CVE Program e da IBM presentes no registro.

Perguntas frequentes

Esta vulnerabilidade é conhecida como explorada?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A estimativa EPSS indica probabilidade, não confirmação de exploração.

Quais versões são afetadas?

O registro lista o WebSphere Application Server de 8.5.0.0 até antes de 8.5.5.31, e de 9.0.0.0 até antes de 9.0.5.29. Consulte o aviso da IBM para o nível corrigido exato da sua release.

O que os administradores devem fazer primeiro?

Revisar o aviso da IBM, planejar a atualização ou o fix pack das instalações afetadas e restringir o acesso ao console administrativo a redes confiáveis enquanto a correção não é aplicada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.