CVE-2026-90436
CVSS 9.8 CRITICAL: ** UNSUPPORTED WHEN ASSIGNED ** Deserialization of an inbound SOAP fault in Apache Axis 1.x allows unauthenticated remote class instantiation. EPSS 1% (67º percentile).
Vulnerabilità · 3 ore fa
CSIRT-ITA segnala lo sfruttamento attivo di una RCE senza autenticazione in tutte le versioni di Apache Axis 1.x, prodotto fuori supporto; è disponibile anche un PoC pubblico. Il vendor non rilascerà aggiornamenti ordinari.
La falla riguarda la gestione degli errori SOAP: prima di verificare se una classe è sicura, Axis prova a crearne una indicata nel messaggio. Una richiesta costruita ad arte può così far istanziare una classe scelta dall’attaccante e, se sono presenti classi adatte all’abuso, consentire l’esecuzione di codice sul server.
La correzione passa dalla migrazione a un prodotto supportato come Apache Axis 2 oppure dall’applicazione manuale della patch del vendor. Per i servizi SOAP ancora in uso, il normale controllo degli aggiornamenti non dimostra che l’esposizione sia stata chiusa.
CVSS 9.8 CRITICAL: ** UNSUPPORTED WHEN ASSIGNED ** Deserialization of an inbound SOAP fault in Apache Axis 1.x allows unauthenticated remote class instantiation. EPSS 1% (67º percentile).
1 fonte che coprono questa storia
Apache Axis: rilevato sfruttamento in rete della CVE-2026-90436
Rilevato lo sfruttamento attivo in rete della CVE-2026-90436 - per la quale risulta disponibile anche un Proof of Concept (PoC) - presente in Apache Axis, framework open source per creare servizi web basati su SOAP (Simple Object Access Protocol).
Part of the PlainSec briefing for 2026-11-13