Impatto Sistemico

Critico (79.23)

Sintesi

Rilevato lo sfruttamento attivo in rete della CVE-2026-90436 – per la quale risulta disponibile anche un Proof of Concept (PoC) – presente in Apache Axis, framework open source per creare servizi web basati su SOAP (Simple Object Access Protocol). Tale vulnerabilità potrebbe consentire a un utente malintenzionato remoto di eseguire codice arbitrario sui sistemi interessati.

Tipologia

• Remote Code Execution

Descrizione e potenziali impatti

Nel dettaglio, la vulnerabilità identificata tramite la CVE-2026-90436 – di tipo ” Remote Code Execution ” e con CVSS 3.1 pari a 9.8 – è dovuta alla deserializzazione non sicura di messaggi di errore SOAP in ingresso, che consente il caricamento e l’istanziazione di classi arbitrarie specificate dall’utente prima che ne venga verificata la validità. Un attaccante remoto non autenticato potrebbe sfruttare tale vulnerabilità inviando richieste SOAP opportunamente predisposte e, in presenza di classi idonee all’abuso, eseguire codice arbitrario sui sistemi interessati.

Prodotti e/o versioni affette

Apache Axis 1.x, tutte le versioni

N.B. Si evidenzia che per il prodotto elencato il vendor non rilascerà alcun aggiornamento considerata la relativa data di fine supporto (EOL).

Azioni di mitigazione

In linea con le dichiarazioni del vendor, considerato che il prodotto ha raggiunto la data di fine supporto (EoL), si raccomanda di pianificare la migrazione a un prodotto alternativo attivamente supportato, quale Apache Axis 2.

Ove ciò non fosse possibile, il vendor ha reso disponibile una patch correttiva applicabile manualmente seguendo le indicazioni fornite nel bollettino di sicurezza riportato nella sezione Riferimenti.