CISA confirma exploração de falha CVSS 10 em componentes Oracle corrigida desde janeiro
A CVE-2026-21962 pode ser explorada através de HTTP sem autenticação. A Oracle disponibilizou a correção em janeiro, mas a CISA confirmou agora exploração ativa.
Uma vulnerabilidade crítica em componentes Oracle, corrigida desde janeiro, está agora a ser explorada no mundo real.
A CISA adicionou a CVE-2026-21962 ao catálogo Known Exploited Vulnerabilities a 24 de agosto, confirmando que existe evidência de exploração ativa.
A falha recebeu uma pontuação CVSS de 10,0 segundo a Oracle e afeta componentes do Oracle HTTP Server e do WebLogic Server Proxy Plug-in.
Para as entidades federais norte-americanas abrangidas pelas regras da CISA, o prazo para aplicar as medidas recomendadas termina a 27 de agosto.
Esse prazo não se aplica universalmente a todas as organizações, mas a entrada no catálogo KEV transforma uma vulnerabilidade já conhecida numa prioridade operacional para quem utiliza os componentes afetados.
Que componentes estão afetados
A matriz de risco da Oracle identifica como afetados o Oracle HTTP Server e componentes do WebLogic Server Proxy Plug-in utilizados com Apache HTTP Server e Microsoft IIS.
As versões indicadas incluem 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0, dependendo do componente.
No caso do WebLogic Server Proxy Plug-in para IIS, a Oracle limita o âmbito afetado à versão 12.2.1.4.0.
Esta precisão é importante porque a vulnerabilidade tem sido resumida como uma “falha no WebLogic”, uma descrição demasiado ampla para o problema técnico identificado pela Oracle.
Pode ser explorada sem autenticação
Segundo a Oracle, a CVE-2026-21962 pode ser explorada remotamente através de HTTP por um atacante não autenticado.
Um ataque bem-sucedido pode permitir acesso não autorizado a dados críticos acessíveis aos componentes vulneráveis, assim como criação, alteração ou eliminação não autorizada de informação.
A Oracle atribuiu à vulnerabilidade a pontuação máxima de 10,0 no sistema CVSS 3.1.
A confirmação de exploração pela CISA não revela, no entanto, quem está a utilizar a falha, quantas organizações terão sido afetadas ou qual a dimensão das campanhas em curso.
Também não existe confirmação, nas fontes utilizadas para esta peça, de utilização da vulnerabilidade em campanhas de ransomware.
A correção está disponível desde janeiro
A Oracle corrigiu a vulnerabilidade no Critical Patch Update publicado em janeiro de 2026.
É precisamente este intervalo que torna o caso relevante.
A existência de um patch não significa que todos os sistemas vulneráveis tenham sido atualizados.
Infraestruturas empresariais podem manter versões antigas devido a dependências, incompatibilidades, processos internos de validação ou simplesmente atrasos na aplicação das atualizações.
Meses depois de a correção ter sido disponibilizada, a confirmação de exploração ativa mostra como esse intervalo pode transformar uma vulnerabilidade conhecida num risco operacional imediato.
O que deve ser verificado agora
A primeira prioridade é identificar se a infraestrutura utiliza os componentes e versões indicados pela Oracle.
Depois, deve ser confirmada a aplicação do Critical Patch Update correspondente e revistas as orientações oficiais do fabricante.
A CISA recomenda às entidades abrangidas que apliquem as mitigações disponibilizadas pelo fornecedor, sigam as orientações aplicáveis a serviços cloud ou deixem de utilizar o produto quando não existir uma mitigação adequada.
Para organizações fora do âmbito federal norte-americano, 27 de agosto não é um prazo obrigatório. A exploração ativa, porém, justifica tratar a remediação como urgente.
Também pode ser necessário rever logs e outros indicadores de atividade suspeita em sistemas que tenham permanecido expostos antes da aplicação da correção.