IBM WebSphere Web Server Plug-ins RCE & HTTP Request Smuggling Vulnerabilities (CVE-2026-8633/CVE-2026-8620) Security Bulletin

漏洞概述 IBM WebSphere Application Server 和 WebSphere Application Server Liberty 在使用 Web Server Plug-ins 时存在多个漏洞，包括远程代码执行和 HTTP 请求走私。 影响范围 CVE-2026-8633 - 描述: IBM WebSphere Application Server 和 WebSphere Application Server Liberty 在使用 Web Server Plug-ins 时，通过特制请求可能遭受远程代码执行。 - CWE: CWE-94: Improper Control of Generation of Code (Code Injection) - CVSS 基础评分: 9.8 - CVSS 向量: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) CVE-2026-8620 - 描述: IBM WebSphere Application Server 和 WebSphere Application Server Liberty 在使用 Web Server Plug-ins 时，通过特制请求可能遭受 HTTP 请求走私。 - CWE: CWE-444: Inconsistent Interpretation of HTTP Requests (HTTP Request/Response Smuggling) - CVSS 基础评分: 7.5 - CVSS 向量: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) 修复方案 IBM 强烈建议通过应用当前可用的 Web Server Plug-ins 的临时修复程序或包含修复程序的修复包来解决漏洞。 Web Server Plug-ins for IBM WebSphere Application Server (用于 IBM WebSphere Application Server 传统版或 Liberty): - 对于 V9.0.0.0 至 9.0.5.27: - 升级到所需的临时修复程序级别，然后应用解决 PH71342 的 Web Server Plug-ins 临时修复程序。 - 或者，应用 Web Server Plug-ins Fix Pack 9.0.5.28 或更高版本（目标可用性 2Q2026）。 - 对于 V8.5.0.0 至 8.5.5.29: - 升级到所需的临时修复程序级别，然后应用解决 PH71342 的 Web Server Plug-ins 临时修复程序。 - 或者，应用 Web Server Plug-ins Fix Pack 8.5.5.30 或更高版本（目标可用性 3Q2026）。 受影响的产品和版本 其他信息 文档编号: 7274072 修改日期: 26 May 2026 初始发布日期: 26 May 2026 参考链接 Complete CVSS v3 Guide On-line Calculator v3 相关资源 IBM Secure Engineering Web Portal IBM Product Security Incident Response Blog 免责声明 根据论坛事件响应和安全团队（FIRST），通用漏洞评分系统（CVSS）是一个“行业开放标准”，旨在传达漏洞严重性和帮助确定响应的紧迫性和优先级。IBM 提供 CVSS 评分“按原样”，不提供任何明示或暗示的保证。客户负责评估任何实际或潜在安全漏洞的影响。IBM 定期更新其产品组合中包含的组件记录。作为该努力的一部分，如果 IBM 在产品/服务中发现以前未识别的包，我们将解决相关漏洞，无论其 CVE 日期如何。包含较旧的 CVEID 并不表明引用产品自该日期以来已被 IBM 使用，也不表明 IBM 在该日期知道该漏洞。我们正努力使客户了解相关漏洞，因为我们成为它们的“受影响产品和版本”引用的 IBM 安全公告旨在仅支持 IBM 和支持的产品和版本，并且尚未通过其最终支持或保修日期。因此，未引用不受支持或扩展支持产品和版本的此安全公告不构成 IBM 确定它们不受漏洞影响的决定。引用一个或多个不受支持版本的此安全公告不应为 IBM 提供义务，为任何不受支持或扩展支持产品或版本提供修复。

目標達成 すべての支援者に感謝 — 100%達成しました！

IBM WebSphere Web Server Plug-ins RCE & HTTP Request Smuggling Vulnerabilities (CVE-2026-8633/CVE-2026-8620) Security Bulletin

目標達成すべての支援者に感謝 — 100%達成しました！