Se han revelado múltiples vulnerabilidades en IBM WebSphere Application Server que podrían permitir a los atacantes ejecutar ataques de cross-site scripting (XSS) y realizar saltos de directorio (path traversal), exponiendo potencialmente datos sensibles y comprometiendo entornos administrativos.

Los problemas afectan a versiones ampliamente desplegadas de WebSphere Application Server 8.5 y 9.0, lo que genera preocupación para las empresas que confían en la plataforma para cargas de trabajo críticas.

Según el aviso de seguridad de IBM publicado el 30 de junio de 2026, tres vulnerabilidades, rastreadas como CVE-2026-11712, CVE-2026-11708 y CVE-2026-11595, afectan al sistema de ayuda integrado de la consola administrativa.

Estos componentes, que a menudo se pasan por alto en las evaluaciones de seguridad, pueden convertirse en puntos de entrada para los atacantes cuando no se aplica correctamente la validación de las entradas. Los fallos más graves, CVE-2026-11712 y CVE-2026-11708, son vulnerabilidades de cross-site scripting (CWE-79).

Ambas tienen una puntuación CVSS alta de 9.3, lo que indica una gravedad crítica. Estas vulnerabilidades surgen de una neutralización inadecuada de la entrada proporcionada por el usuario durante la generación de la página web. Un atacante puede explotar estos problemas engañando a un usuario autenticado para que haga clic en un enlace especialmente diseñado.

Vulnerabilidades de IBM WebSphere

Una vez activados, los scripts maliciosos pueden ejecutarse dentro de la sesión del navegador de la víctima, permitiendo potencialmente a los atacantes secuestrar sesiones, modificar el contenido mostrado o realizar acciones con los privilegios del usuario.

Aunque se requiere la interacción del usuario, el impacto sigue siendo significativo debido a la naturaleza administrativa de la interfaz afectada.

Si un administrador se ve comprometido, los atacantes podrían obtener acceso elevado a las configuraciones de la aplicación y a datos operativos sensibles.

La tercera vulnerabilidad, CVE-2026-11595, es un problema de salto de directorio clasificado como CWE-22. Tiene una puntuación CVSS de 4.3 y se considera de gravedad media.

Este fallo permite que un atacante remoto acceda a archivos restringidos manipulando las entradas de la ruta de archivos dentro del sistema de ayuda.

Al explotar secuencias de salto de directorio, los atacantes pueden recuperar información sensible almacenada en el servidor, lo que podría ayudar en ataques posteriores o en tareas de reconocimiento.

Las tres vulnerabilidades afectan específicamente al sistema de ayuda integrado dentro de la consola administrativa de WebSphere, resaltando cómo los componentes auxiliares pueden introducir riesgos de seguridad si no se protegen adecuadamente.

A pesar de que el fallo de salto de directorio tiene una calificación de gravedad menor, aún puede contribuir a cadenas de ataque más amplias cuando se combina con otras debilidades.

IBM no ha proporcionado ninguna solución alternativa para estas vulnerabilidades, por lo que el parcheo es la única estrategia de mitigación efectiva. La empresa recomienda encarecidamente que apliques las correcciones provisionales o que actualices a los últimos paquetes de corrección que abordan el APAR PH71756.

Para la versión 9.0 de WebSphere Application Server, se te aconseja actualizar al Fix Pack 9.0.5.29 o posterior; para los usuarios de la versión 8.5, aplica el Fix Pack 8.5.5.31 o posterior una vez que esté disponible.

También se proporcionan correcciones provisionales para versiones anteriores compatibles. Sin embargo, debes seguir cuidadosamente las instrucciones posteriores a la instalación para asegurar una remediación completa.

Los equipos de seguridad deben priorizar el parcheo debido a la alta gravedad de las vulnerabilidades XSS y la exposición potencial de las interfaces administrativas. Monitorear el acceso a la consola de administración de WebSphere y restringir el acceso innecesario puede reducir aún más el riesgo de explotación.

La revelación subraya la importancia de asegurar todos los componentes del software empresarial, incluidos los sistemas de ayuda integrados, que a menudo se asume que tienen un riesgo bajo pero que pueden convertirse en vectores de ataque críticos si se dejan desprotegidos.