CVE-2026-8646: Vulnerabilidade de HTTP Request Smuggling no IBM WebSphere Application Server e Liberty

Visão geral

A IBM publicou um aviso do fabricante sobre uma fragilidade de HTTP request smuggling (CWE-444) que afeta o IBM WebSphere Application Server 8.5 e 9.0 e o IBM WebSphere Application Server Liberty na faixa 17.0.0.3 a 26.0.0.6. Esse tipo de falha ocorre quando um servidor e um intermediário interpretam de forma diferente os limites de uma mensagem HTTP, o que pode levar a requisições processadas de maneira não prevista.

Impacto

Segundo o registro, um atacante remoto poderia enviar uma requisição especialmente construída ao servidor de aplicação. Isso poderia permitir contornar controles de segurança, falsificar identidade, escalar privilégios e expor informações sensíveis. O vetor CVSS 3.1 do registro indica acesso pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto em confidencialidade e integridade e nenhum impacto em disponibilidade.

Produtos e versões afetados

IBM WebSphere Application Server: de 8.5.0.0 até antes de 8.5.5.30
IBM WebSphere Application Server: de 9.0.0.0 até antes de 9.0.5.29
IBM WebSphere Application Server Liberty: de 17.0.0.3 até antes de 26.0.0.7

A descrição do registro menciona a faixa do Liberty como 17.0.0.3 a 26.0.0.6, o que é coerente com o limite superior 26.0.0.7 do campo de versões afetadas.

Status de exploração

A vulnerabilidade não consta no catálogo KEV da CISA segundo o registro. Não há exploração ativa confirmada nas fontes consultadas para este registro. Os dados de EPSS e SSVC não estão disponíveis no registro.

Remediação e mitigação

Consulte o aviso do fabricante no link abaixo e identifique os níveis corrigidos para a sua linha de produto.
Planeje a atualização das instalações afetadas do WebSphere Application Server e do Liberty para níveis fora das faixas listadas. O registro não preenche o campo de correções, então confirme as versões exatas com a IBM.
Enquanto a aplicação das correções não é concluída, limite a exposição dos servidores afetados e revise como proxies reversos, balanceadores e servidores de aplicação tratam a delimitação das requisições.
Após qualquer mudança de configuração, valide que os componentes de front-end e back-end interpretam os limites das requisições de forma consistente.

Aviso do fabricante: página de suporte da IBM para esta questão

Orientações de detecção

Revise os logs de servidores web e proxies em busca de requisições com cabeçalhos de delimitação ambíguos ou conflitantes, e de respostas inesperadas que sugiram dessincronização no processamento.
Monitore mudanças repentinas em padrões de acesso, cabeçalhos de identidade ou eventos relacionados a privilégios nas aplicações afetadas.
Correlacione os logs das aplicações com os dos intermediários para identificar divergências no processamento das requisições.

Limitações das informações disponíveis

O registro não inclui campo de correções preenchido, portanto as versões corrigidas devem ser confirmadas no aviso da IBM.
A pontuação da NVD é 9,1, enquanto a pontuação do PSIRT da IBM no registro é 7,4; ambas são CVSS 3.1, mas vêm de fornecedores diferentes.
Os valores de EPSS e SSVC estão nulos no registro.
O registro não tem título, então o título desta análise foi redigido a partir do produto e da fragilidade descritos.
O conteúdo do aviso da IBM não foi analisado além do link de referência presente no registro.

Perguntas frequentes

Qual é a fragilidade do CVE-2026-8646?

O registro a classifica como HTTP request smuggling sob o CWE-444, o que pode permitir que requisições construídas sejam interpretadas de forma não prevista pelo servidor de aplicação.

Quais produtos e versões da IBM são afetados?

O registro lista o WebSphere Application Server de 8.5.0.0 até antes de 8.5.5.30 e de 9.0.0.0 até antes de 9.0.5.29, além do Liberty de 17.0.0.3 até antes de 26.0.0.7.

Há exploração conhecida desta vulnerabilidade?

O registro não indica inclusão no KEV nem exploração ativa confirmada nas fontes consultadas.

O que os administradores devem fazer agora?

Consulte o aviso da IBM, confirme as versões corrigidas com a IBM, planeje atualizações além das faixas listadas e limite a exposição até a conclusão da correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.