Struts CVE (Equifax)
CVE-2017-5638 en Apache Struts 2 — RCE mediante inyección de expresiones OGNL en la cabecera Content-Type. Usada en la brecha de Equifax de 2017 (datos personales de 143M de usuarios, acuerdo de 700M$).
Cronología de Equifax: CVE divulgado en marzo de 2017, Apache publica el parche, Equifax notifica a su equipo de seguridad interno para parchear, el proceso de parcheo manual deja algunos servidores sin cubrir, los atacantes explotan la falla entre mediados de mayo y julio, se descubre en julio, se hace público en septiembre. Lección: la gestión de dependencias y el parcheo automatizado son críticos. Struts fue un framework Java popular entre 2000 y 2015, hoy desplazado por alternativas modernas (Spring Boot, Quarkus, Micronaut). La lista de CVE tiene más de 30 para Struts — un framework con una superficie de inyección de código profunda. Actualidad: Apache detuvo oficialmente el mantenimiento de Struts 2 en la versión 6.5 (2024) e insta a migrar.