Activamente explotadaCVSS 10.0 · CRITICAL

CVE-2026-21962Compromiso remoto en Oracle HTTP Server y WebLogic Proxy

Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in contain an improper access control vulnerability that can result in unauthorized creation, deletion or modification access to critical data as well as unauthorized access to critical data or complete access to all Oracle HTTP Server and Oracle Weblogic Server Proxy Plug-in accessible data.

Ver en NVD

Análisis

Oracle HTTP Server y el plug-in de proxy para WebLogic presentan una falla crítica de control de acceso que permite a atacantes no autenticados comprometer el servidor y manipular datos de forma remota. Esta vulnerabilidad está siendo explotada activamente en entornos que utilizan Apache o IIS como front-end para servidores WebLogic. Es vital actualizar las instalaciones de Fusion Middleware para evitar el acceso no autorizado a sistemas internos y bases de datos conectadas.

Roles relevantes

BackendciberseguridadCloudJavaLinuxWindows

Severidad

Puntaje: 10.0(CRITICAL)

Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

AV: NETWORK

AC: LOW

PR: NONE

UI: NONE

S: CHANGED

C: HIGH

I: HIGH

A: NONE

Tipo de falla (CWE): CWE-284

CISA KEV

Agregada al KEV: 2026-08-24

Fecha límite federal: 2026-08-27

Uso conocido en ransomware: Unknown

Acción requerida

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

EPSS

Probabilidad de explotación (próx. 30 días): 0.4323 (43.2%)

Percentil: 98.6%

EPSS: 2026-08-24

Afecta

oracle:http_serveroracle:weblogic_server_proxy_plug-in

Descripción técnica

Vulnerability in the Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in product of Oracle Fusion Middleware (component: Weblogic Server Proxy Plug-in for Apache HTTP Server, Weblogic Server Proxy Plug-in for IIS). Supported versions that are affected are 12.2.1.4.0, 14.1.1.0.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via HTTP to compromise Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in. While the vulnerability is in Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in, attacks may significantly impact additional products (scope change). Successful attacks of this vulnerability can result in unauthorized creation, deletion or modification access to critical data or all Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in accessible data as well as unauthorized access to critical data or complete access to all Oracle HTTP Server, Oracle Weblogic Server Proxy Plug-in accessible data. Note: Affected version for Weblogic Server Proxy Plug-in for IIS is 12.2.1.4.0 only. CVSS 3.1 Base Score 10.0 (Confidentiality and Integrity impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N).

Publicada: 20/1/2026, 22:15:59

Última modificación: 24/8/2026, 19:58:10

Referencias

Cómo leer esta tarjeta

Activamente explotada

KEV (Known Exploited Vulnerabilities) es el catálogo de CISA con CVEs confirmados como explotados en el mundo real. Si una CVE está aquí, alguien ya la está usando para atacar.

CVSS 10.0

CVSS 10.0 — máxima severidad teórica. Explotable de forma remota, sin privilegios, con impacto total. Aún no confirmada como explotada en el mundo real, pero parchea ya.

Recomendada por IA

Un modelo de lenguaje revisó el CVE y consideró que afecta a software ampliamente desplegado o herramientas comunes de desarrollo. Un humano del equipo aprobó la publicación antes de que llegara aquí.

Categorías de impacto que evalúa la IA

widely_deployed_infra — kernel Linux, OpenSSL, glibc, k8s, Docker, nginx, OpenSSH.

popular_dev_tooling — Node.js, Python, Go, React, Next.js, librerías comunes de npm/pip.

common_consumer_software — Chrome, Firefox, Windows, macOS, apps móviles populares.

enterprise_saas — GitHub, GitLab, Atlassian, Salesforce, Cisco, Fortinet, Ivanti.

niche_software — CMS regionales, herramientas de hobby, librerías de poco uso.

not_relevant — firmware específico de proveedor, software descontinuado.

EPSS — EPSS (Exploit Prediction Scoring System) de FIRST.org estima la probabilidad de que una CVE sea explotada en los próximos 30 días. Va de 0 a 1; los CVEs muy nuevos suelen tener puntajes bajos hasta acumular evidencia.