CVE-2026-22732: Spring Security: cabeçalhos HTTP não gravados em aplicações servlet

Visão geral

O Spring Security divulgou a CVE-2026-22732, em que cabeçalhos de resposta HTTP definidos por aplicações servlet podem não ser gravados na resposta. O problema ocorre no modo padrão de escrita preguiçosa (lazy) dos cabeçalhos. O registro associa a falha à CWE-425 e a uma pontuação CVSS de 9.1 atribuída pela CNA. Consulte o aviso do fabricante para a declaração oficial.

Impacto

O vetor CVSS do registro descreve um problema acessível pela rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade.
A ausência de cabeçalhos de segurança pode enfraquecer proteções que o navegador aplica às respostas. O efeito prático depende de quais cabeçalhos a aplicação utiliza, informação que o registro não detalha.

Produtos e versões afetados

Aplicações servlet com Spring Security que usam a escrita preguiçosa (padrão) de cabeçalhos.
De 5.7.0 até 5.7.21, inclusive
De 5.8.0 até 5.8.23, inclusive
De 6.3.0 até 6.3.14, inclusive
De 6.4.0 até 6.4.14, inclusive
De 6.5.0 até 6.5.8, inclusive
De 7.0.0 até 7.0.3, inclusive

As faixas afetadas do registro indicam que as primeiras versões fora delas, em cada ramo, são 5.7.22, 5.8.24, 6.3.15, 6.4.15, 6.5.9 e 7.0.4. A lista de correções do registro está vazia, portanto isso é uma inferência a partir dos limites das faixas e deve ser confirmada no aviso do fabricante.

Status de exploração

O registro não mostra inclusão no catálogo KEV da CISA (kev.listed é falso). Não há exploração confirmada na natureza nas fontes consultadas. A referência do fabricante aparece marcada como 'Exploit' no registro, mas essa marcação não comprova atividade de exploração. Os dados SSVC indicam exploração como 'none' e automatizável como 'yes'. A probabilidade EPSS é 0.00489, com percentil 0.41177.

Correção e mitigação

Atualize para uma versão fora das faixas afetadas do seu ramo, conforme descrito no aviso do fabricante.
Se a atualização não puder ser aplicada de imediato, revise a configuração de cabeçalhos da aplicação e confirme que as respostas trazem os cabeçalhos esperados. O registro não descreve uma solução paliativa específica, então nenhuma é afirmada aqui.
Mapeie onde o Spring Security é usado, incluindo dependências transitivas, para planejar a atualização.

Orientação para detecção

Compare os cabeçalhos de segurança esperados com as respostas reais em homologação e produção, em endpoints representativos, incluindo conteúdo estático e respostas de erro.
Verifique manifestos de dependências e inventários de software (SBOM) em busca das versões afetadas.
Monitore mudanças inesperadas no comportamento dos cabeçalhos após implantações.

Limitações das informações disponíveis

O registro não identifica quais cabeçalhos são afetados nem as condições exatas das requisições.
A lista de correções está vazia; as versões corrigidas são inferidas dos limites das faixas.
O registro informa o identificador CWE-425, mas não o nome da fraqueza.
As fontes consultadas não trazem prova de conceito nem análise de causa raiz, e este texto também não fornece.
O registro não informa o status de suporte dos ramos afetados.

Perguntas frequentes

Esta vulnerabilidade está sendo explorada ativamente?

O registro não mostra inclusão no catálogo KEV da CISA, e não há exploração confirmada na natureza nas fontes consultadas.

Quais aplicações são afetadas?

Aplicações servlet com Spring Security que usam a escrita preguiçosa padrão de cabeçalhos HTTP, dentro das faixas de versão listadas no registro.

O que as equipes devem fazer agora?

Verificar se usam um ramo afetado, planejar a atualização para uma versão fora das faixas e conferir os cabeçalhos de resposta enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.