CVE-2026-90436
CVSS 9.8 CRITICAL: ** UNSUPPORTED WHEN ASSIGNED ** Deserialization of an inbound SOAP fault in Apache Axis 1.x allows unauthenticated remote class instantiation. EPSS 1% (67º percentile).
Vulnerabilità ed exploit
CSIRT-ITA segnala lo sfruttamento attivo di una RCE senza autenticazione in tutte le versioni di Apache Axis 1.x, prodotto fuori supporto; è disponibile anche un PoC pubblico. Il vendor non rilascerà aggiornamenti ordinari.
La falla riguarda la gestione degli errori SOAP: prima di verificare se una classe è sicura, Axis prova a crearne una indicata nel messaggio. Una richiesta costruita ad arte può così far istanziare una classe scelta dall’attaccante e, se sono presenti classi adatte all’abuso, consentire l’esecuzione di codice sul server.
La correzione passa dalla migrazione a un prodotto supportato come Apache Axis 2 oppure dall’applicazione manuale della patch del vendor. Per i servizi SOAP ancora in uso, il normale controllo degli aggiornamenti non dimostra che l’esposizione sia stata chiusa.
1 fonte · 3 ore fa
CVSS 9.8 CRITICAL: ** UNSUPPORTED WHEN ASSIGNED ** Deserialization of an inbound SOAP fault in Apache Axis 1.x allows unauthenticated remote class instantiation. EPSS 1% (67º percentile).
CSIRT Italia / ACN
Apache Axis: rilevato sfruttamento in rete della CVE-2026-90436
Rilevato lo sfruttamento attivo in rete della CVE-2026-90436 - per la quale risulta disponibile anche un Proof of Concept (PoC) - presente in Apache Axis, framework open source per creare servizi web basati su SOAP (Simple Object Access Protocol).
originalePart of the PlainSec briefing for 2026-11-13
Every edition of this story: Lo sfruttamento attivo lascia Apache Axis 1.x senza aggiornamenti ordinari