A CISA adicionou ao catálogo Known Exploited Vulnerabilities (KEV) uma falha crítica que afeta o Oracle HTTP Server e o Oracle WebLogic Server Proxy Plug-in. Identificada como CVE-2026-21962, a vulnerabilidade recebeu pontuação CVSS 10,0, a classificação máxima de severidade, e já possui evidências de exploração ativa.
O alerta coloca administradores de infraestrutura, equipes de segurança e profissionais DevOps diante de uma situação que exige atenção imediata. A falha pode ser explorada remotamente, por HTTP e sem autenticação, permitindo acesso não autorizado a dados críticos e operações indevidas sobre informações acessíveis pelos componentes afetados.
A preocupação aumenta porque os patches de segurança foram disponibilizados pela Oracle em janeiro de 2026, enquanto tentativas de exploração começaram a aparecer pouco depois da divulgação pública de detalhes técnicos. Agora, com a entrada no catálogo KEV, a CISA sinaliza que a vulnerabilidade deixou de ser apenas uma questão de atualização preventiva e passou a representar uma ameaça concreta.
O que é a falha crítica CVE-2026-21962
A CVE-2026-21962 é uma vulnerabilidade de controle de acesso inadequado, classificada como CWE-284. O problema está relacionado à forma como o Oracle HTTP Server e o WebLogic Server Proxy Plug-in controlam o acesso aos recursos que podem ser alcançados por meio desses componentes.
O cenário de exploração é especialmente grave porque o atacante não precisa necessariamente possuir uma conta válida. Com acesso à rede, ele pode enviar requisições HTTP especialmente construídas contra uma instalação vulnerável.
Segundo a descrição utilizada pela CISA, uma exploração bem-sucedida pode permitir criação, exclusão ou modificação não autorizada de dados críticos, além de acesso indevido aos dados disponíveis para os componentes afetados.
Isso torna a vulnerabilidade particularmente perigosa em ambientes corporativos nos quais o Oracle HTTP Server funciona como porta de entrada para aplicações empresariais e serviços internos.
Onde a vulnerabilidade está na arquitetura Oracle
Um ponto importante para evitar interpretações equivocadas é que não basta dizer que todo servidor WebLogic está vulnerável.
A CVE-2026-21962 está relacionada ao WebLogic Server Proxy Plug-in, utilizado para encaminhar requisições entre servidores web e aplicações hospedadas no WebLogic. Esse componente pode funcionar integrado ao Apache HTTP Server, Oracle HTTP Server ou Microsoft IIS, dependendo da configuração.
Por isso, a avaliação de risco deve começar pelo inventário dos componentes instalados. Organizações podem ter servidores WebLogic em funcionamento sem necessariamente utilizar uma configuração afetada pelo problema.
As versões indicadas como afetadas incluem 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0 em determinadas configurações do plug-in. Ambientes IIS possuem uma condição específica, o que reforça a necessidade de consultar a documentação da Oracle antes de concluir se determinado servidor está vulnerável.
Exploração ativa transforma a CVE-2026-21962 em prioridade
A inclusão no KEV da CISA é um dos principais motivos para tratar a falha com urgência. O catálogo reúne vulnerabilidades para as quais existem evidências de exploração real, permitindo que organizações priorizem correções com base no risco observado no mundo real.
No caso da CVE-2026-21962, os primeiros sinais de exploração apareceram ainda no início de 2026. A CloudSEK identificou tentativas contra sua infraestrutura de honeypot a partir de 22 de janeiro, pouco depois da disponibilização pública de código de exploração.
A atividade também não ocorreu de forma isolada. Pesquisadores observaram agentes tentando explorar simultaneamente outras vulnerabilidades conhecidas do ecossistema WebLogic.
Entre elas estão CVE-2020-14882/CVE-2020-14883, associadas à exploração do console, CVE-2020-2551, relacionada ao IIOP, e CVE-2017-10271, uma antiga vulnerabilidade do WLS-WSAT.
Esse comportamento demonstra uma estratégia comum de criminosos: utilizar varreduras automatizadas para encontrar servidores corporativos que continuam vulneráveis a falhas conhecidas.
O histórico do Oracle WebLogic aumenta o risco
Servidores Oracle WebLogic estão há anos entre os alvos recorrentes de campanhas automatizadas. Vulnerabilidades antigas continuam sendo exploradas porque muitas organizações mantêm instalações legadas, ambientes sem inventário adequado ou sistemas que não acompanham regularmente os ciclos de atualização.
A observação da CloudSEK reforça esse cenário. O honeypot da empresa recebeu tentativas contra a nova CVE-2026-21962 ao mesmo tempo em que era sondado em busca de outras falhas críticas do WebLogic.
Para o administrador, a lição é direta: corrigir apenas a vulnerabilidade mais recente não é suficiente. É necessário avaliar toda a superfície de ataque e verificar se o servidor possui outras falhas conhecidas ou componentes desatualizados.
A situação também ganhou um prazo operacional concreto. Para as agências do governo federal civil dos Estados Unidos, a determinação associada à BOD 26-04 estabelece 27 de agosto de 2026 como data para correção.
Embora esse prazo seja direcionado às organizações governamentais abrangidas pela diretiva, empresas privadas também devem utilizar a inclusão no KEV como um forte sinal para priorizar imediatamente a atualização.
Como proteger servidores Oracle HTTP Server e WebLogic
O primeiro passo é realizar um inventário completo. Identifique servidores que utilizam Oracle HTTP Server, Apache HTTP Server ou IIS com o WebLogic Server Proxy Plug-in e determine exatamente quais versões estão instaladas.
Depois, compare o ambiente com as versões afetadas e aplique os patches de segurança da Oracle, disponibilizados no ciclo de janeiro de 2026.
A aplicação da correção deve ser acompanhada por uma análise de exposição. Servidores acessíveis diretamente pela internet merecem prioridade máxima, principalmente quando o componente vulnerável aceita requisições HTTP provenientes de redes não confiáveis.
Enquanto a atualização não é concluída, equipes podem reduzir a superfície de ataque utilizando segmentação de rede, controles de acesso, WAF e restrições de exposição externa. Essas medidas, entretanto, devem ser consideradas camadas complementares e não substituem a aplicação do patch.
Também é recomendável investigar os registros do ambiente. Administradores devem procurar requisições HTTP anômalas, tentativas de exploração, acessos inesperados, alterações não autorizadas e conexões de saída incomuns originadas dos servidores afetados.
Isso é particularmente importante porque a inclusão no KEV indica exploração ativa. Se um sistema permaneceu vulnerável durante meses, simplesmente instalar a atualização não elimina a possibilidade de um comprometimento anterior.
A atualização deve ser tratada como emergência
A combinação de CVSS 10,0, exploração ativa, acesso remoto sem autenticação e disponibilidade de correção coloca a vulnerabilidade em uma categoria na qual adiar o patch representa um risco desnecessário.
Administradores devem verificar imediatamente se possuem o componente vulnerável, aplicar a atualização correspondente e revisar os logs para identificar possíveis sinais de exploração.
A CVE-2026-21962 também reforça uma realidade conhecida no gerenciamento de infraestrutura: servidores corporativos aparentemente esquecidos continuam sendo procurados por ferramentas automatizadas de ataque.
Para equipes de Linux, cloud, DevOps e segurança da informação, o momento é de ação. Inventarie, atualize, reduza a exposição e investigue possíveis comprometimentos.
