CVE-2026-39920criticalCWE-1188CWE-1391

CVE-2026-39920: falha crítica em BridgeHead Software FileStore

BridgeHead FileStore < 24A Apache Axis2 Default Credentials RCE

Publicada em

Seguir esta CVE+ Monitorar FileStore

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

48Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 9.3epss 0.5%
Em resumo

Versões do BridgeHead FileStore anteriores à 24A deixam as ferramentas de administração Apache Axis2 acessíveis na internet com senhas padrão, permitindo que atacantes coloquem arquivos maliciosos e executem qualquer comando no servidor sem permissão.

Detalhe técnico

Um atacante não autenticado pode explorar credenciais padrão para acessar o console administrativo Apache Axis2 em instâncias do BridgeHead FileStore anteriores à 24A expostas na rede, fazer upload de um arquivo Java malicioso como serviço web e executar comandos de sistema operacional arbitrários via requisições SOAP, resultando em comprometimento total do sistema.

Resumo gerado e traduzido por IA a partir da descrição oficial.
BridgeHead FileStore versions prior to 24A (released in early 2024) expose the Apache Axis2 administration module on network-accessible endpoints with default credentials that allows unauthenticated remote attackers to execute arbitrary OS commands. Attackers can authenticate to the admin console using default credentials, upload a malicious Java archive as a web service, and execute arbitrary commands on the host via SOAP requests to the deployed service.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
BridgeHead Software · FileStore
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.