PT-2026-35026 · Apache+1 · Apache Axis2+1

Vulncheck · Publicado 2026-04-24 · Atualizado 2026-04-24 · CVE-2026-39920

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions BridgeHead FileStore versões anteriores a 24A

Description O módulo de administração Apache Axis2 está exposto em endpoints acessíveis pela rede e utiliza credenciais padrão. Isso permite que atacantes remotos não autenticados obtenham controle administrativo sobre o módulo. Um atacante pode se autenticar usando essas credenciais padrão, fazer o upload de um arquivo Java malicioso como um serviço web e executar comandos arbitrários do sistema operacional no host por meio de solicitações SOAP para o serviço implantado.

Recommendations Atualizar para a versão 24A.

Exploit

Correção

Enumeração de Fraquezas

CWE-1391

CWE-1188

Identificadores relacionados

CVE-2026-39920

Produtos afetados

Apache Axis2

Bridgehead Filestore

Referências · 9

• 🔥 https://gist.github.com/VAMorales/9e6a13d7529c079a363930dff48be3ba · Exploit
• https://vulncheck.com/advisories/bridgehead-filestore-24a-apache-axis2-default-credentials-rce · Nota
• https://issues.apache.org/jira/browse/AXIS2-4279 · Nota
• https://axis.apache.org/axis2/java/core/docs/webadminguide.html · Nota
• https://reddit.com/r/pwnhub/comments/1supkhb/critical_remote_code_execution_flaw_exposes · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2026-39920 · Nota de Segurança
• https://twitter.com/OrizonCyber/status/2047714716064117146 · Publicação no Twitter
• https://bridgeheadsoftware.com/rapid-data-protection-product-updates · Nota
• https://twitter.com/CVEnew/status/2047731899896868996 · Publicação no Twitter