CVE-2026-21962: falha nota 10 no Oracle WebLogic sob ataque
A CISA (agência de cibersegurança dos EUA) confirmou nesta segunda-feira, 24 de agosto, que a CVE-2026-21962 — falha de nota máxima (CVSS 10.0) no Oracle HTTP Server e no Oracle WebLogic Server Proxy Plug-in — está sob exploração ativa. Agências federais americanas têm até 27 de agosto para aplicar o patch, o prazo mais curto que a agência pode impor.
O que é a CVE-2026-21962
A falha é um caso de controle de acesso inadequado (CWE-284) que permite a um atacante não autenticado, com apenas acesso de rede via HTTP, comprometer o Oracle HTTP Server e o Oracle WebLogic Server Proxy Plug-in. Segundo a CISA, a exploração bem-sucedida permite criar, apagar ou modificar dados críticos, além de dar acesso completo a tudo que o plug-in processa — sem exigir credenciais, interação do usuário ou configuração incomum.
A Oracle divulgou a falha e distribuiu correções em 20 de janeiro de 2026, dentro do seu ciclo trimestral de patches (Critical Patch Update). As versões afetadas são 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0.
Por que a exploração ativa só virou notícia agora
Embora o patch exista há sete meses, relatórios da GreyNoise e da CloudSEK mostram que a exploração começou muito antes da CISA adicionar a falha ao catálogo KEV. A CloudSEK operou um honeypot entre 22 de janeiro e 3 de fevereiro de 2026 — dias após a divulgação pública — e capturou ataques automatizados mirando a CVE-2026-21962 junto com falhas antigas do WebLogic, como CVE-2020-14882/14883 (RCE via console), CVE-2020-2551 (RCE via IIOP) e CVE-2017-10271 (RCE via WLS-WSAT).
As ferramentas dominantes no tráfego malicioso foram scanners automatizados como libredtail-http e o Nmap Scripting Engine, num padrão de varredura em massa característico de “spray and pray”. O detalhe que aumenta o risco: proxies do WebLogic costumam ficar expostos em zonas DMZ, o que torna a superfície de ataque de quem não corrigiu maior do que parece.
Como se proteger
- Aplique o Critical Patch Update de janeiro de 2026 da Oracle nas instâncias de Oracle HTTP Server e WebLogic Server Proxy Plug-in.
- Confirme a versão instalada — 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0 estão na lista de afetadas.
- Audite logs de acesso HTTP em busca de tentativas de exploração antigas, já que a falha é explorada desde pelo menos janeiro.
- Revise a exposição do proxy: se ele está acessível pela internet, restrinja o acesso a redes confiáveis sempre que possível.
- Monitore também as falhas legadas do WebLogic (CVE-2020-14882, CVE-2020-2551, CVE-2017-10271) — o mesmo tráfego automatizado tenta explorá-las em conjunto.
Perguntas frequentes
O que é CVSS 10.0?
É a pontuação máxima na escala Common Vulnerability Scoring System, reservada para falhas triviais de explorar e com impacto total sobre confidencialidade, integridade e disponibilidade.
Preciso de credenciais para ser atacado?
Não. A CVE-2026-21962 é explorável por um atacante sem autenticação, apenas com acesso de rede via HTTP ao proxy.
O patch já existe?
Sim, desde 20 de janeiro de 2026, no Critical Patch Update trimestral da Oracle.
Por que a CISA só agiu agora, sete meses depois?
A CISA adiciona falhas ao catálogo KEV quando confirma evidência de exploração ativa, não necessariamente no momento da divulgação. Relatórios de mercado indicam que os ataques já ocorriam desde fevereiro.
O prazo de três dias vale só para o governo dos EUA?
Formalmente, a diretiva BOD 26-04 obriga apenas agências federais civis americanas. Mas o prazo curto é um sinal de gravidade que vale para qualquer organização com WebLogic exposto.
Conclusão
Sete meses entre a divulgação e a confirmação de exploração ativa é tempo suficiente para qualquer ambiente com Oracle HTTP Server ou WebLogic Server Proxy Plug-in exposto ter sido varrido por scanners automatizados. Quem ainda não aplicou o patch de janeiro deve tratar isso como prioridade máxima — não como mais um item de backlog.
