CVE-2026-13773: SSRF via Desserialização Java no IBM WebSphere eXtreme Scale
As versões 8.6.1.0 até 8.6.1.6 do IBM WebSphere eXtreme Scale são afetadas por uma falha de server-side request forgery acionada durante a desserialização Java. O registro indica que ela pode ser encadeada com outra falha do ORB da IBM para chegar à execução remota de código, e a NVD a classifica como crítica. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A IBM publicou um aviso relacionado ao CVE-2026-13773 para o WebSphere eXtreme Scale nas versões 8.6.1.0 até 8.6.1.6. Segundo o registro, classes stub CORBA geradas no componente ogclient.jar podem ser levadas a contatar um host escolhido pelo atacante ao processar dados IOR não confiáveis durante a desserialização Java. A fraqueza é classificada como CWE-918, Server-Side Request Forgery.
Impacto
- O registro descreve SSRF IIOP de saída para um host escolhido pelo atacante, a partir de qualquer sink ObjectInputStream não filtrado no WebSphere Application Server.
- Quando encadeado com uma falha separada de instanciação de classe no ORB da IBM, referenciada como WAS-26, o registro afirma que o SSRF escala para execução remota de código na JVM chamadora.
- A NVD atribui nota 10 (crítica) sob CVSS 3.1. A nota da própria IBM no registro é 6 sob CVSS 3.1.
Produtos e versões afetadas
- IBM WebSphere eXtreme Scale nas versões 8.6.1.0 até 8.6.1.6, conforme listado no registro.
- O registro não informa uma versão corrigida. A ausência dessa informação não significa que não exista correção, por isso consulte diretamente o aviso da IBM.
Status de exploração
Segundo o registro, este CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise. A probabilidade EPSS é 0,06097, com percentil de 0,93275, na data indicada no registro.
Correção e mitigação
- Revise o boletim de segurança da IBM e aplique a correção que a IBM especificar para a sua release do WebSphere eXtreme Scale.
- Enquanto a correção não for aplicada, reduza a exposição limitando quais componentes desserializam dados de fontes não confiáveis, aplicando filtros de desserialização ao uso de ObjectInputStream e restringindo o tráfego IIOP e outros egressos dos servidores de aplicação apenas aos destinos necessários.
- Como o registro relaciona este problema à condição WAS-26, revise o ambiente WebSphere como um todo, conforme descrito pela IBM.
Orientações de detecção
- Monitore os servidores de aplicação em busca de conexões de saída inesperadas, especialmente tráfego IIOP para hosts fora da topologia normal.
- Registre e revise erros de desserialização e atividade incomum de fluxo de objetos nas JVMs que executam componentes do WebSphere eXtreme Scale.
- Correlacione logs de egresso com eventos da aplicação para identificar requisições iniciadas pelo servidor que não correspondam ao comportamento esperado.
Limitações das informações disponíveis
- O registro não inclui versão corrigida, identificadores de correção nem o texto do aviso WAS-26.
- Pré-requisitos além dos descritos na descrição são desconhecidos.
- Foram consultadas apenas as referências presentes no registro, e o conteúdo do aviso da IBM não foi analisado nesta análise.
Perguntas frequentes
Quais versões do IBM WebSphere eXtreme Scale são afetadas pelo CVE-2026-13773?
O registro indica as versões 8.6.1.0 até 8.6.1.6 como afetadas. Confirme a sua release exata no aviso da IBM citado no registro.
O CVE-2026-13773 está sendo explorado ativamente?
Segundo o registro, ele não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Continue acompanhando as fontes oficiais.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.