CVE-2026-21962criticalbajo ataqueCWE-284

CVE-2026-21962: fallo crítico en Oracle HTTP Server, Oracle Weblogic Server…

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Oracle HTTP Server+ Monitorear Oracle Weblogic Server Proxy Plug-in

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene prueba de concepto pública.

ssvc Actcvss 10epss 73%
de la publicación al arma94 días
Publicada en NVD20 ene
1ª PoC+94d
CISA KEV+216d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

  • CTIR Gov · ALERTA 74/2026 · 25 ago 2026Vulnerabilidade crítica que afeta o HTTP Server and Oracle Weblogic Server Proxy Plug-inleer en gov.br ↗
Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-08-27

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Una falla de control de acceso permite que atacantes no autenticados lean, modifiquen o eliminen datos importantes de los servidores Oracle HTTP y WebLogic sin necesidad de ingresar. Esta es una vulnerabilidad crítica que puede afectar múltiples sistemas conectados.

Detalle técnico

Una vulnerabilidad de control de acceso impropio (CWE-284) en Oracle HTTP Server y WebLogic Server Proxy Plug-in (versiones 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0) permite que atacantes no autenticados exploten a través de HTTP sin necesidad de autenticación o interacción del usuario. La explotación exitosa resulta en alto impacto de confidencialidad e integridad con cambio de alcance, pudiendo comprometer sistemas dependientes y permitir creación, eliminación o modificación no autorizada de datos críticos.

Resumen generado y traducido por IA a partir de la descripción oficial.
Vulnerability in the Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in product of Oracle Fusion Middleware (component: Weblogic Server Proxy Plug-in for Apache HTTP Server, Weblogic Server Proxy Plug-in for IIS). Supported versions that are affected are 12.2.1.4.0, 14.1.1.0.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in. While the vulnerability is in Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in accessible data as well as unauthorized access to critical data or complete access to all Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in accessible data. Note: Affected version for Weblogic Server Proxy Plug-in for IIS is 12.2.1.4.0 only. CVSS 3.1 Base Score 10.0 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Productos afectados
Oracle Corporation · Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.