CVE Intelligence
Análise Assistido por IA

CVE-2026-11714: IBM WebSphere Application Server Liberty: SSRF no recurso apiDiscovery-1.0

O IBM WebSphere Application Server Liberty apresenta uma falha de server-side request forgery quando o recurso apiDiscovery-1.0 está habilitado. A NVD classifica como crítica, com pontuação CVSS 3.1 de 9,8, enquanto a IBM PSIRT informa 8,5. O registro não mostra inclusão no KEV da CISA nem exploração confirmada nas fontes consultadas.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

A IBM publicou um boletim de segurança para o WebSphere Application Server Liberty que descreve uma falha de server-side request forgery (SSRF), classificada como CWE-918. Segundo o registro, o problema se aplica quando o recurso apiDiscovery-1.0 está habilitado. O boletim de segurança da IBM é a referência do fabricante listada para esta CVE.

Impacto

  • A NVD classifica o problema como crítico, com pontuação base CVSS 3.1 de 9,8. O vetor indica ataque explorável pela rede, sem necessidade de privilégios ou interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
  • A IBM PSIRT informa, no registro, outra pontuação CVSS 3.1, de 8,5.
  • Em geral, uma SSRF permite que um servidor seja induzido a enviar requisições a destinos não pretendidos. O registro não descreve as consequências específicas para este produto.

Produtos e versões afetadas

  • IBM WebSphere Application Server Liberty, nas versões de 17.0.0.3 até antes de 26.0.0.8, conforme o registro.
  • A condição relevante é o recurso apiDiscovery-1.0 estar habilitado.

Status de exploração

  • A CVE não consta no catálogo KEV da CISA no registro analisado.
  • Não há exploração confirmada nas fontes consultadas.
  • O registro informa probabilidade EPSS de 0,00365, com percentil de 0,28534.

Correção e mitigação

  • O registro não contém lista de versões corrigidas. Consulte o boletim da IBM para os níveis de correção e aplique as atualizações do fabricante nas instalações Liberty afetadas.
  • Se o recurso apiDiscovery-1.0 não for necessário, considere desabilitá-lo como medida defensiva até a aplicação das correções, após confirmar o impacto com as orientações da IBM.
  • Restrinja conexões de saída dos servidores de aplicação sempre que possível, por meio de filtragem de egresso e segmentação de rede.

Orientações de detecção

  • Faça o inventário dos servidores Liberty e verifique se o apiDiscovery-1.0 está habilitado na configuração.
  • Revise logs e telemetria de rede em busca de conexões de saída inesperadas partindo dos servidores de aplicação, sobretudo para faixas de endereços internos ou serviços de metadados de nuvem.
  • Monitore requisições que contenham URLs externas ou internas em parâmetros processados pelo servidor e gere alertas para anomalias.

Limitações das informações disponíveis

  • O registro não inclui lista de versões corrigidas, descrição técnica detalhada além do resumo, nem o texto do boletim da IBM.
  • A NVD e a IBM PSIRT atribuem pontuações CVSS 3.1 diferentes, e o registro não explica a diferença.
  • O registro não trazia título, por isso o título desta análise foi derivado da descrição.

Perguntas frequentes

A CVE-2026-11714 está sendo explorada ativamente?

O registro não a lista no KEV da CISA e não há exploração confirmada nas fontes consultadas. Acompanhe as fontes oficiais para atualizações.

Todas as instalações do WebSphere Liberty são afetadas?

Segundo o registro, o problema se aplica às versões de 17.0.0.3 até antes de 26.0.0.8 quando o recurso apiDiscovery-1.0 está habilitado.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.