Sete meses depois do patch, a falha 10.0 da Oracle virou prazo de 72 horas

A nota máxima raramente vem sozinha. Aqui ela vem acompanhada de scope change, o campo do CVSS que indica que o impacto não termina no componente atingido. Em português direto: quem explora o plug-in de proxy pode alcançar aplicações e sistemas que ficam atrás dele. E o plug-in de proxy, por definição, fica na frente de tudo.

Esse é o detalhe que muda a conversa. O Oracle HTTP Server e o plug-in do WebLogic são peças de borda. Elas existem para receber a requisição do mundo externo e encaminhá-la ao servidor de aplicação. Uma falha de controle de acesso nesse ponto não é uma falha em uma aplicação específica. É uma falha na porta de entrada de todas elas.

A linha do tempo é mais desconfortável que a falha

A Oracle corrigiu a vulnerabilidade em janeiro. Em 22 de janeiro, uma prova de conceito virou pública. No dia seguinte já havia tráfego de exploração.

A CloudSEK manteve um honeypot de alta interação simulando um WebLogic 14.1.1.0.0 entre 22 de janeiro e 3 de fevereiro. Em doze dias registrou exploração ampla e imediata da CVE-2026-21962, misturada a tentativas contra falhas antigas de execução remota no mesmo produto: CVE-2020-14882 e CVE-2020-14883 no console, CVE-2020-2551 no IIOP e CVE-2017-10271 no WLS-WSAT. Uma delas tem nove anos.

Em julho, relatórios de inteligência associaram a CVE-2026-21962 a um ator ligado à China em ataques contra infraestrutura governamental. Em agosto, a CISA formalizou o que os operadores já viam desde janeiro.

Sete meses entre a exploração observada e a entrada no catálogo. Vale a pena registrar isso sem transformar em acusação: o catálogo da CISA é excelente como gatilho de prioridade, e é ruim como fonte primária de descoberta. Quem espera o KEV para agir está sempre atrasado pelo tamanho dessa janela.

Números do caso

Indicador	Valor
Identificador	CVE-2026-21962
Pontuação CVSS	10.0, com mudança de escopo
Componentes afetados	Oracle HTTP Server e Oracle WebLogic Server Proxy Plug-in (Apache HTTP Server e IIS)
Versões	12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0
Pré-requisito de ataque	Nenhum. Acesso de rede via HTTP, sem autenticação
Correção disponível desde	Janeiro de 2026
Exploração observada desde	22 de janeiro de 2026, um dia após a prova de conceito pública
Prazo da BOD 22-01	27 de agosto de 2026 para agências civis federais dos EUA

Leitura LATAMSEC

O prazo de 27 de agosto vale para agência federal americana. A exposição não respeita fronteira. Na América Latina, WebLogic sustenta uma quantidade desconfortável de portal de autoatendimento, integração bancária, sistema de gestão acadêmica e camada de ERP herdada. É software que costuma estar sob contrato de terceiro, com janela de manutenção negociada e responsabilidade difusa.

Há um problema prático de inventário aqui. O plug-in de proxy costuma ser instalado dentro de um Apache ou de um IIS, e não aparece como "WebLogic" na varredura de ativos. Quem procurar pela porta 7001 e pelo banner do servidor de aplicação vai encontrar parte do parque. A parte exposta na borda pode estar em outro lugar, atrás de um servidor web que o inventário classifica como Apache comum.

Três perguntas que valem para a próxima reunião de exposição. A primeira: existe algum Oracle HTTP Server ou plug-in de proxy do WebLogic acessível a partir da internet, e quem é o dono dele? A segunda: o patch de janeiro foi aplicado, ou foi registrado como "planejado" em uma janela que nunca chegou? A terceira, a mais incômoda: se o componente está exposto desde janeiro e a exploração começou em janeiro, alguém revisou os logs de acesso desse período antes de simplesmente aplicar a correção?

Corrigir agora fecha a porta. Não responde o que passou por ela nos últimos sete meses. Em ambiente com esse perfil de exposição, o patch é o começo do trabalho, não o fim.