Apache Struts CVE-2026-104711: RCE-Lücke – Patches verfügbar

Rund eine Woche nach Apaches Struts-Sicherheitsrunde hat der BSI-Warn- und Informationsdienst (WID) den Hinweis WID-SEC-2026-3852 veröffentlicht: In Apache Struts stecken mehrere Schwachstellen, von denen eine – CVE-2026-104711 – nach Eintrag in der CVE-Datenbank OpenCVE mit CVSS 9.8 als kritisch geführt wird und das Ausführen beliebigen Programmcodes mit den Rechten des Dienstes erlaubt. Betroffen sind Java-Webanwendungen auf Struts-Basis. Apache nennt 6.12.0 und 7.4.0 als Fix-Versionen. Hinweise auf laufende Angriffe gibt es im vorliegenden Material nicht – was die Meldung nicht harmlos macht, aber differenzierter, als der Score nahelegt.

Apache Struts CVE-2026-104711: Kritische Lücke mit Konfigurations-Vorbehalt

Ein CVSS-Wert von 9,8 steht für maximale Dringlichkeit, und tatsächlich bedeutet erfolgreiche Ausnutzung hier Code-Ausführung im Kontext des Dienstes: Wer eine betroffene Instanz kompromittiert, kontrolliert potenziell die gesamte Anwendung samt der Daten, auf die sie Zugriff hat. Allerdings hängt die Ausnutzbarkeit an der Konfiguration. Nach einer ersten Einordnung der vier Lücken greift der RCE-Pfad nur, wenn der legacy RESTful action mapper verwendet wird; in Struts 7 nach dieser Darstellung nur dann, wenn die OGNL-Allowlist deaktiviert ist.

Diese Bedingung ist für die Priorisierung entscheidend – und sie stammt aus der Sekundärauswertung, nicht aus dem BSI-Text. Vor einem Rollout gehört sie ans Herstellerbulletin geprüft; maßgeblich sind dafür die Apache-Announcements 2026.

Vier CVEs, nur eine mit RCE-Potenzial

Der BSI-Hinweis fasst mehrere Schwachstellen zusammen. Die Recherche verweist auf vier CVEs – CVE-2026-104711 bis CVE-2026-104714 –, die Apache in den Bulletins S2-075 bis S2-078 führt. Nur die erste gilt als RCE-relevant. Die drei übrigen betreffen Ressourcen- und Denial-of-Service-Szenarien sowie Isolationsprobleme: unangenehm, aber nicht gleichwertig.

Die betroffenen Versionsbereiche unterscheiden sich je CVE und sind in den jeweiligen CVE-Einträgen dokumentiert. Wer nicht pauschal auf die Fix-Versionen heben kann, sollte deshalb zuerst prüfen, welcher der vier Fälle die eigene Installation überhaupt trifft, statt alle gleich zu behandeln.

Authentisiert oder anonym? Die Angreifer-Angabe widerspricht sich

Ein Detail der Meldung bleibt offen: Der BSI-Hinweis beschreibt einen entfernten, authentisierten Angreifer. Die Spiegelung derselben Kurzbeschreibung bei IT Sicherheitsnews nennt dagegen einen entfernten, anonymen Angreifer. Das ist kein Formulierungsdetail, sondern der Unterschied zwischen „jeder mit Netzzugang" und „jeder mit einem gültigen Konto" – und damit ein direkter Faktor für die Einschätzung der Ausnutzungswahrscheinlichkeit.

Eine dritte deutsche Advisory-Fassung, DFN-CERT-2026-5447, formuliert, für die Ausnutzung seien „keine Privilegien erforderlich". Das spricht gegen die Authentifizierungs-Anforderung, taugt aber nicht als sauberer Beleg: Eine explizite Zuordnung dieses Advisories zu WID-SEC-2026-3852 ist nicht belegt, die Aussage kann auf einer anderen Bewertungsgrundlage beruhen. Bis zur Klärung sind beide Varianten als unsicher zu behandeln.

Unabhängig davon existiert ein separates, mit „mittel" eingestuftes Struts-Advisory. Es darf nicht mit WID-SEC-2026-3852 vermischt werden – die Bewertungen und Angreiferannahmen sind nicht austauschbar.

Patch-Stand: 6.12.0 und 7.4.0 – und was vorher hilft

Die Fix-Versionen sind verfügbar: Apache nennt 6.12.0 und 7.4.0 als Zielversionen zu den Bulletins S2-075 bis S2-078. Der Upgrade-Pfad ist damit klar – wer den 6er-Zweig fährt, hebt auf 6.12.0; wer den 7er-Zweig nutzt, auf 7.4.0. Auf älteren Ständen zu bleiben löst keines der vier Probleme.

Weil Struts in der Praxis selten allein läuft, sondern als Bibliothek in größeren Java-Anwendungen steckt, bedeutet das Update in aller Regel Rebuild und Redeploy – also ein Wartungsfenster statt eines Hotfix im Vorbeigehen. Priorisieren sollten Admins Instanzen, die aus dem Internet erreichbar sind oder fremde Eingaben verarbeiten. Als Risikoreduzierung auf Zeit gilt: den legacy RESTful action mapper nicht verwenden und in Struts 7 die OGNL-Allowlist aktiviert lassen. Das ist Expositionsreduzierung, kein Ersatz für den Patch – und selbst diese Konfigurationsaussage ist vorab am Bulletin zu prüfen.

Fazit: Erst Konfiguration prüfen, dann patchen

Die Struts-Meldung ist ein Musterbeispiel dafür, warum ein 9,8er-Score allein keine Patch-Reihenfolge diktiert. Der RCE-relevante Teil ist nach derzeitiger Einordnung an eine Konfiguration gebunden, die viele Installationen gar nicht nutzen; die drei weiteren Lücken sind davon unabhängig real. Praktisch heißt das: Bestandsaufnahme machen – welcher Struts-Zweig, welche Version, wird der legacy RESTful action mapper eingesetzt? –, Exposition prüfen, dann auf 6.12.0 oder 7.4.0 heben.

Hinweise auf In-the-wild-Exploits oder einen öffentlichen Proof-of-Concept gibt es im vorliegenden Material nicht. In der Übersicht der BSI-Cyber-Sicherheitswarnungen war zum Recherchezeitpunkt keine eigene BITS-Meldung zum Struts-Fall gelistet; dort standen Hinweise zu Citrix NetScaler, Check Point und F5 BIG-IP APM. Die widersprüchliche Angreifer-Angabe bleibt offen und gehört beim nächsten Update des Advisories nachgeprüft.

Quellen