Apache Struts y CVE-2016-3081: inyección de comandos ya explotada

Apache Struts y CVE-2016-3081: inyección de comandos ya explotada

Qué es CVE-2016-3081 y a quién afectaCVE-2016-3081 es una vulnerabilidad de inyección de comandos (CWE-77) en Apache Struts, el framework Java que hay...

Qué es CVE-2016-3081 y a quién afecta

CVE-2016-3081 es una vulnerabilidad de inyección de comandos (CWE-77) en Apache Struts, el framework Java que hay detrás de innumerables aplicaciones web corporativas. Según la NVD del NIST, el fallo permite a un atacante remoto ejecutar código arbitrario mediante el prefijo method: cuando la Dynamic Method Invocation (DMI) está habilitada.

Válvula metálica agrietada de la que se escapa líquido luminoso sobre un rack de servidores

Las versiones afectadas, tal como recoge la NVD, son:

  • Apache Struts 2.3.19 a 2.3.20.2
  • Apache Struts 2.3.21 a 2.3.24.1
  • Apache Struts 2.3.25 a 2.3.28

La lista de productos afectados es más amplia de lo que parece: la NVD incluye referencias a soluciones de fabricantes que empaquetan Struts dentro de sus propias plataformas, como varias versiones de firmware de Huawei (Agile Controller-Campus, AnyOffice, LogCenter, FireHunter6000, OceanStor 5300 y 5500 V3, entre otras). En total, la NVD recoge decenas de configuraciones afectadas. La gravedad asignada es CVSS 3.1 de 8.1 (HIGH), con vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H.

En el día a día de una pyme española esto se traduce en algo concreto: si tu equipo de IT mantiene una aplicación interna, un portal de proveedores o un backoffice construido sobre Struts, o si usas algún producto de terceros que lo integre, estás dentro del radio de impacto.

Por qué es urgente: ya se explota en ataques reales

El dato clave no es la antigüedad del fallo (publicado en la NVD el 26 de abril de 2016), sino su estado actual. CISA añadió CVE-2016-3081 a su catálogo KEV (Known Exploited Vulnerabilities) el 8 de octubre de 2026, lo que significa que hay constancia de explotación activa en ataques reales.

El plazo que CISA dio a las agencias federales de EE. UU. para corregirla vencía el 11 de octubre de 2026, apenas tres días después. La acción exigida pasa por aplicar las mitigaciones siguiendo las instrucciones del fabricante y evaluar la exposición a internet de cada activo. Aunque ese plazo formal afecta solo al sector público estadounidense, para una empresa en Lleida, Barcelona o Tarragona es una señal clara: un fallo de 2016 sigue siendo rentable para los atacantes porque quedan sistemas sin actualizar.

El material no indica que esta vulnerabilidad se haya vinculado a campañas de ransomware, así que no conviene dramatizar por ese lado; el riesgo real es la ejecución remota de código en servidores que deberían estar cerrados.

Qué hacer hoy

La prioridad es saber si el fallo te toca. Estos son los pasos razonables:

  • Inventariar. Pregunta a tu equipo de IT, o al proveedor de la aplicación, si algún sistema usa Apache Struts y en qué versión. Revisa también productos de terceros que puedan empaquetarlo.
  • Actualizar según el aviso del fabricante. Apache publicó el aviso oficial S2-032 con el parche correspondiente. Aplica exactamente lo que indique ese aviso; no improvises versiones ni parches caseros.
  • Revisar la configuración. El fallo depende de que la Dynamic Method Invocation esté habilitada. Si tu aplicación no la necesita, deshabilitarla reduce la superficie de ataque mientras se planifica la actualización.
  • Buscar indicios de intrusión. Revisa logs de acceso y errores en busca de peticiones anómalas con el prefijo method:, procesos extraños, ficheros nuevos en directorios web o conexiones salientes no explicadas.
  • Reducir lo expuesto a internet. Cualquier panel de administración, consola o aplicación interna con Struts no debería ser accesible públicamente sin necesidad. Filtra por IP, exige VPN o limita el acceso.

Si detectas indicios de compromiso, no borres logs ni reinicies a ciegas: conserva la evidencia antes de tocar nada.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

Gestionar esto con un equipo de IT pequeño es complicado, sobre todo cuando hay que compaginar el día a día del negocio con auditorías y parcheos. En ALMC trabajamos precisamente en ese hueco: auditamos la seguridad de la infraestructura y hacemos pentesting para localizar vulnerabilidades como esta antes de que las exploten, aplicamos hardening en servidores y nos ocupamos del mantenimiento y actualización de plataformas como WordPress, PrestaShop y Joomla.

Si la cosa ya ha pasado, también intervenimos en la respuesta a incidentes y en la reparación de webs hackeadas, con la vista puesta en el RGPD y la LOPDGDD: una brecha mal gestionada no es solo un problema técnico, también es una obligación legal de notificación. Para una pyme o un comercio online en Cataluña, contar con ese respaldo evita que un fallo de hace una década se convierta en una factura inesperada.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.