Oracle HTTP Server e WebLogic proxy no KEV: o prazo de 27 de agosto exige inventário hoje

O sinal e os factos que mudam a decisão

A CISA adicionou CVE-2026-21962 ao KEV em 24 de agosto e fixou 27 de agosto como prazo operacional. O NVD descreve acesso de rede HTTP sem autenticação, CVSS 3.1 de 10,0 e impacto sobre confidencialidade e integridade no Oracle HTTP Server e WebLogic Server Proxy Plug-in.

As versões afetadas indicadas pelo NVD são 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0; para o plug-in IIS, a nota limita a versão afetada a 12.2.1.4.0. A CISA classifica exploração como ativa, automação possível e impacto técnico total no seu registo SSVC; isso aumenta prioridade, mas não confirma compromisso local.

A ação exigida no KEV é aplicar mitigação conforme orientação, seguir a diretiva aplicável para cloud ou descontinuar o produto quando não existir mitigação. Inventários centrados no servidor de aplicação podem omitir o plug-in no edge. Um proxy aparentemente auxiliar pode oferecer o vetor sem autenticação e alcançar dados críticos ou produtos adicionais através da mudança de scope descrita no CVE.

Decisão, limites e condição de bloqueio

Antes do prazo, descubra não só servidores WebLogic, mas também a camada proxy em Apache e IIS, confirme versão e patch, reduza exposição e investigue pedidos anteriores; se a mitigação não estiver disponível, retire o componente do caminho público.

Inventários centrados no servidor de aplicação podem omitir o plug-in no edge. Um proxy aparentemente auxiliar pode oferecer o vetor sem autenticação e alcançar dados críticos ou produtos adicionais através da mudança de scope descrita no CVE.

Execução e prova de conclusão

A execução deve começar por pesquisar pacotes, módulos apache/iis, ficheiros de configuração, imagens e load balancers para criar o denominador real. Depois, preservar logs http, waf, proxy, processo, filesystem, identidade e backend, depois corrigir, isolar ou retirar cada instância. O fecho exige procurar pedidos anómalos e alterações de dados, rodar credenciais quando a exposição justificar e testar o percurso ponta a ponta.

O fecho exige 100% dos proxies e servidores associados em estado comprovado, investigação documentada do período exposto, teste funcional, credenciais avaliadas e nenhuma linha ‘desconhecida’ sem owner e prazo.

• pesquisar pacotes, módulos Apache/IIS, ficheiros de configuração, imagens e load balancers para criar o denominador real.
• preservar logs HTTP, WAF, proxy, processo, filesystem, identidade e backend, depois corrigir, isolar ou retirar cada instância.
• procurar pedidos anómalos e alterações de dados, rodar credenciais quando a exposição justificar e testar o percurso ponta a ponta.
• O fecho exige 100% dos proxies e servidores associados em estado comprovado, investigação documentada do período exposto, teste funcional, credenciais avaliadas e nenhuma linha ‘desconhecida’ sem owner e prazo.