CVE-2026-9006: IBM WebSphere Application Server: SSRF no Ajax Proxy
A CVE-2026-9006 é uma falha de server-side request forgery (CWE-918) no IBM WebSphere Application Server 9.0 e 8.5 quando o Ajax Proxy está configurado. A NVD a classifica com 9.1 (CVSS 3.1, Crítica) e o PSIRT da IBM com 7.4. Não há exploração confirmada nas fontes consultadas, e o registro não informa versões corrigidas, então os administradores devem consultar diretamente o aviso da IBM.
Visão geral
O IBM WebSphere Application Server 9.0 e 8.5 é afetado por uma fraqueza de server-side request forgery (CWE-918) quando o Ajax Proxy está configurado. A descrição e o mapeamento CWE vêm da entrada na NVD, e o aviso do fornecedor da IBM está no site de suporte da IBM.
Impacto
O registro afirma que um atacante pode conseguir enviar requisições não autorizadas a partir do sistema afetado. As consequências citadas são bypass de segurança ou divulgação de informações.
- A NVD atribui 9.1 com CVSS 3.1 e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N.
- A entrada do PSIRT da IBM no registro atribui 7.4 com CVSS 3.1.
- A fraqueza é mapeada para CWE-918.
Produtos e versões afetadas
O registro lista o IBM WebSphere Application Server em duas faixas: a partir de 8.5.0.0 até antes de 8.5.5.30, e a partir de 9.0.0.0 até antes de 9.0.5.29. O Ajax Proxy precisa estar configurado para que o problema se aplique, conforme o texto da fonte.
Status de exploração
O catálogo KEV da CISA não lista este CVE no registro, portanto essa fonte não confirma exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Consulte o aviso da IBM citado acima para os níveis corrigidos oficiais e orientações provisórias.
- As faixas afetadas terminam em 8.5.5.30 e 9.0.5.29, o que sugere que esses níveis contêm a correção, mas o registro não afirma isso de forma explícita.
- Se o Ajax Proxy não for necessário, desabilitá-lo reduz a exposição. Avalie o impacto no seu ambiente antes de alterar configurações de produção.
Orientações de detecção
- Verifique se o Ajax Proxy está habilitado nas configurações dos servidores.
- Monitore requisições de saída dos servidores de aplicação para redes internas, endpoints de metadados ou hosts inesperados.
- Correlacione requisições incomuns feitas via proxy nos logs web e de aplicação com os componentes afetados.
Limitações das informações disponíveis
O registro não tem título, não informa versões corrigidas no campo de correções, não possui pontuação EPSS nem dados SSVC. As pontuações da IBM PSIRT e da NVD diferem, e as pré-condições exatas de exploração além da configuração do Ajax Proxy não são descritas no registro.
Perguntas frequentes
O que é a CVE-2026-9006?
É uma fraqueza de server-side request forgery (CWE-918) no IBM WebSphere Application Server 9.0 e 8.5 quando o Ajax Proxy está configurado, segundo o registro da NVD.
Esta vulnerabilidade está sendo explorada ativamente?
O catálogo KEV da CISA não lista este CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
O registro lista de 8.5.0.0 até antes de 8.5.5.30, e de 9.0.0.0 até antes de 9.0.5.29. Consulte o aviso da IBM para os níveis corrigidos oficiais.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.