O Apache Struts corrigiu quatro vulnerabilidades, e uma delas permite execução remota de código sem autenticação. É a CVE-2026-104711, uma injeção de OGNL que depende de a aplicação usar o mapeador RESTful legado.
O alcance é restrito pela configuração. Aplicações que usam o mapeador padrão, o restful2 ou o plugin REST do próprio Struts não são afetadas, e nas versões 7.x o problema só aparece quando a lista de permissões do OGNL está desativada.
Onde o mapeador antigo está ativo, ele extrai nomes de ação e parâmetros diretamente da URL, e é por esse caminho que entra a expressão maliciosa.
São vulneráveis as versões 2.0.0 a 2.3.37, 2.5.0 a 2.5.33, 6.0.0 a 6.11.0 e 7.0.0 a 7.3.0. As correções estão na 7.4.0 e posteriores, e na 6.12.0 para quem está na linha 6.
As outras três falhas não levam a execução de código. Duas afetam a disponibilidade: uma faz requisições pequenas gerarem respostas desproporcionais, consumindo processamento e banda, e outra esgota a memória por aceitar corpo de requisição sem limite.
Essa última recebeu um teto padrão de 2.097.152 caracteres e é a única classificada como importante. As demais ficaram em severidade moderada.
A quarta é mais sutil e nem precisa de requisição maliciosa. Formatadores de mensagem compartilhados interferem entre requisições simultâneas e podem expor dados ou gerar erro de renderização sob tráfego comum.
