Se ha descubierto una vulnerabilidad crítica de inyección de entidades externas XML (XXE) en Apache Struts 2, que podría exponer a millones de aplicaciones al robo de datos y la compromisión de servidores. La vulnerabilidad, identificada como CVE-2025-68493, afecta a múltiples versiones del popular framework y requiere acción inmediata por parte de desarrolladores y administradores de sistemas.

Se ha descubierto una vulnerabilidad crítica de inyección de entidades externas XML (XXE) en Apache Struts 2, lo que podría exponer a millones de aplicaciones al robo de datos y la compromisión de servidores.

La vulnerabilidad, identificada como CVE-2025-68493, afecta a múltiples versiones del framework ampliamente utilizado y requiere acción inmediata por parte de desarrolladores y administradores de sistemas.

Resumen de la vulnerabilidad

La falla de seguridad existe en el componente XWork de Apache Struts 2, que gestiona el análisis de configuraciones XML.

El componente no valida correctamente la entrada XML, dejando las aplicaciones vulnerables a ataques de inyección XXE.

Actores maliciosos pueden explotar esta debilidad para acceder a información sensible almacenada en servidores afectados o lanzar ataques de denegación de servicio.

Investigadores de seguridad de ZAST.AI identificaron la vulnerabilidad y la reportaron al equipo de Apache Struts.

La vulnerabilidad recibió una calificación de seguridad "Importante" debido a su potencial impacto en la confidencialidad de los datos y la disponibilidad del sistema.

La vulnerabilidad afecta a una amplia gama de versiones de Struts 2 actualmente en uso en organizaciones de todo el mundo:

Las organizaciones que utilicen cualquiera de estas versiones deben priorizar las actualizaciones de seguridad de inmediato.

La explotación exitosa de CVE-2025-68493 podría resultar en:

Apache ha lanzado Struts 6.1.1 como la versión corregida. Las organizaciones deben actualizar a esta versión de inmediato.

El parche mantiene la compatibilidad hacia atrás, asegurando una implementación fluida sin romper las aplicaciones existentes.

Las organizaciones que no puedan actualizar de inmediato pueden implementar soluciones temporales:

Estas soluciones proporcionan protección temporal mientras las organizaciones planifican los plazos de actualización. CVE-2025-68493 representa una grave amenaza para las implementaciones de Struts 2 en todo el mundo.

La aplicación inmediata de parches debe ser la máxima prioridad para los equipos de seguridad, seguida de la verificación de que las soluciones temporales estén implementadas en los sistemas que no puedan actualizarse de inmediato.

Las organizaciones deben revisar su inventario de Struts 2 y desarrollar un calendario de aplicación de parches acelerado para eliminar la exposición a esta vulnerabilidad crítica.