CVE do Struts (Equifax)
CVE-2017-5638 no Apache Struts 2 — RCE por injeção de expressão OGNL no cabeçalho Content-Type. Usada no vazamento da Equifax em 2017 (dados pessoais de 143 milhões de pessoas, acordo de US$ 700 milhões).
Linha do tempo da Equifax: a CVE foi divulgada em março de 2017, a Apache lançou a correção, a Equifax avisou sua equipe interna de segurança para aplicá-la, o processo manual de atualização deixou servidores de fora, os atacantes exploraram a falha entre meados de maio e julho, o incidente foi descoberto em julho e divulgado em setembro. Lição: gestão de dependências e atualização automatizada são críticas. O Struts foi um framework Java popular de 2000 a 2015, depois substituído por alternativas modernas (Spring Boot, Quarkus, Micronaut). A lista de CVEs tem mais de 30 do Struts — um framework com superfície profunda de injeção de código. Hoje: a Apache encerrou oficialmente a manutenção do Struts 2 na v6.5 (2024) e pede que os usuários migrem.