Apache Struts 2 (rutas .action)
Apache Struts 2, sucesor que en realidad venía de otro proyecto (WebWork). Sus URL terminan en .action.
- dominios donde la portada, las cabeceras o el certificado la delatan17de 1.466 dominios que sirven páginas · captura del 31 de agosto al 11 de septiembre de 2026
Por qué entonces
Struts 2 arregló buena parte de lo que hacía pesado a Struts 1: menos XML, acciones que son objetos normales, integración con Spring. Para quien ya tenía la casa montada en Struts, era la continuación natural.
Qué pasó
Struts 2 no está muerto —se sigue manteniendo— pero acumula una serie notable de vulnerabilidades críticas de ejecución remota de código relacionadas con OGNL, el lenguaje de expresiones que usa internamente. La más conocida es la que se explotó en la brecha de Equifax en 2017, con un parche que llevaba meses publicado.
Por qué está mal hoy
El riesgo aquí no es la tecnología en sí, es el retraso: Struts 2 exige estar al día casi de forma continua, y una instalación pública que se tocó por última vez hace años es casi seguro vulnerable a algo conocido y con exploit público.
En lo público
Es el caso donde el mantenimiento importa más que la elección de tecnología. Un contrato de desarrollo sin contrato de mantenimiento deja exactamente esto.
El arreglo
Verificar versión exacta contra el listado de avisos de seguridad de Apache Struts y actualizar. Es de los pocos casos donde el arreglo puede ser subir una versión, no reescribir.
Esta ficha explica la tecnología; los casos concretos, con su cita y su procedencia, viven en las piezas.