🔴 《严重安全漏洞：CVE-2026-14529》

CVSS 评分: 严重（9.4）　　状态: Received　　发布时间: 2026-07-29

漏洞简介

CVE-2026-14529 是一个存在于 IBM WebSphere Application Server 中的服务器端请求伪造（Server-Side Request Forgery，SSRF）漏洞。该漏洞属于 CWE-306（缺失关键功能的认证）分类。当启用了 SIP 容器特性（sipServlet-1.1）时，攻击者可以利用该漏洞向内部网络中的任意服务器发起未经授权的请求，从而绕过访问控制，获取敏感信息或执行进一步攻击。

该漏洞的 CVSS 3.1 评分为 9.8（严重），攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需任何权限（PR:N），无需用户交互（UI:N），影响范围未改变（S:U），对机密性（C:H）和完整性（I:H）造成高影响，对可用性（A:L）造成低影响。

影响范围

受影响的软件版本包括：

  • IBM WebSphere Application Server 传统版（Traditional）：9.0 及 8.5 版本
  • IBM WebSphere Application Server Liberty：17.0.0.3 至 26.0.0.8 版本

上述版本中，若启用了 sipServlet-1.1 特性，则存在该漏洞。

风险分析

攻击者可以利用该 SSRF 漏洞，通过向受影响的 WebSphere 服务器发送特制请求，诱使服务器向内部网络中的任意目标（如内网数据库、云服务元数据端点、其他内部服务等）发起请求。由于请求来自受信任的服务器，攻击者可能：

  • 读取内部网络中的敏感数据（如配置信息、凭据、云服务令牌等）
  • 扫描内部网络拓扑，发现其他脆弱服务
  • 利用内部服务的漏洞进行横向移动或提权
  • 在特定场景下，可能对内部服务造成低程度的可用性影响

该漏洞无需认证即可远程利用，且利用复杂度低，因此具有极高的安全风险。建议受影响的用户立即升级至 IBM 官方提供的修复版本，或禁用不必要的 sipServlet-1.1 特性以缓解风险。

🔍 技术细节

字段 值
CVE ID CVE-2026-14529
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
CWE 分类 CWE-306
发布时间 2026-07-29
最后更新 2026-07-29
状态 Received
数据来源 psirt@us.ibm.com

🔗 参考链接