Oracle CVE-2026-21962 fait son entrée dans le KEV : score maximal et accès non autorisé à WebLogic

Une faille critique publiée en janvier, désormais au catalogue des vulnérabilités exploitées

La CISA a ajouté la vulnérabilité CVE-2026-21962 au catalogue Known Exploited Vulnerabilities (KEV). L’ajout est enregistré le 24 août 2026 ; la date limite de correction imposée aux agences fédérales américaines est fixée au 27 août 2026.

La faille concerne Oracle HTTP Server et les plug-ins proxy Oracle WebLogic Server pour Apache HTTP Server et pour IIS. Le score CVSS v3 est de 10,0, le maximum possible. La nature du défaut est un contrôle d’accès incorrect (CWE-284) : un attaquant non authentifié peut agir via le réseau en HTTP, sans identifiants ni interaction utilisateur.

Selon l’enregistrement CVE Program, la vulnérabilité a été publiée le 20 janvier 2026. La description technique indique qu’une attaque réussie peut entraîner un accès non autorisé, la création, la suppression ou la modification de données critiques et, dans certains cas, un accès complet aux données accessibles via les composants vulnérables.

Détails techniques : vecteur, changement de périmètre et impact sur les données

Le vecteur CVSS 3.1 officiel est :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Autrement dit : attaque par le réseau, complexité faible, aucun privilège requis, aucune interaction utilisateur, périmètre modifié (S:C), impact élevé sur la confidentialité et l’intégrité, aucun impact sur la disponibilité. Le changement de périmètre est un point clé : bien que localisée dans les composants Oracle, la faille peut affecter d’autres systèmes ou applications connectés.

La fiche NVD classe la vulnérabilité comme CWE-284 (Improper Access Control), et non comme exécution de code à distance. Un rapport CloudSEK de mars 2026, cité par Security Affairs, la décrit en revanche comme une RCE critique non authentifiée avec un CVSS de 10,0. Les deux attributions doivent être signalées : le vecteur officiel n’inclut pas d’impact sur la disponibilité et la description du CVE Program parle d’accès et de modification de données, pas explicitement d’exécution de code.

Versions concernées et environnements à risque

Selon l’enregistrement CVE Program, les versions concernées sont :

• Oracle HTTP Server et plug-ins proxy Oracle WebLogic Server (Apache HTTP Server) : 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0
• Plugin proxy Oracle WebLogic Server pour IIS : uniquement la version 12.2.1.4.0

La fiche NVD ne répertorie que les versions 12.2.1.4.0 pour les deux composants dans le champ produits, mais la description étendue et l’enregistrement CVE Program incluent également 14.1.1.0.0 et 14.1.2.0.0. Les données du CVE Program prévalent.

Un composant proxy Oracle WebLogic exposé sur Internet peut offrir à un attaquant un chemin vers des systèmes backend critiques sans exiger d’authentification. Cela rend particulièrement risqués les environnements qui publient directement le plug-in ou l’HTTP Server sans restrictions de réseau adéquates.

Exploitation active déjà observée entre janvier et février

L’activité d’exploitation n’est pas théorique. Un honeypot à haute interaction de CloudSEK, actif du 22 janvier au 3 février 2026, a simulé un Oracle WebLogic Server 14.1.1.0.0 et a enregistré des attaques immédiates et généralisées contre CVE-2026-21962. Dans le rapport, la faille est décrite comme une RCE critique non authentifiée.

Outre celle-ci, l’honeypot a capturé des tentatives contre des vulnérabilités RCE historiques de WebLogic :

• CVE-2020-14882/14883 — RCE par la console (HTTP, sans authentification)
• CVE-2020-2551 — RCE via IIOP
• CVE-2017-10271 — RCE via WLS-WSAT (T3, sans authentification)

CloudSEK conclut que les acteurs malveillants continuent de cibler un ensemble restreint de vulnérabilités très efficaces et simples à exploiter pour compromettre les environnements WebLogic. La présence de trois CVE datant de 2020 et 2017 aux côtés de la nouvelle faille indique que de nombreux systèmes restent exposés à des problèmes connus depuis des années.

CISA, KEV et directives opérationnelles : ce qui change pour les agences fédérales

L’ajout au catalogue KEV impose des contraintes aux agences fédérales civiles et exécutives américaines (FCEB). Pour CVE-2026-21962, la date limite de remédiation est le 27 août 2026. L’action requise par la CISA est : appliquer les mesures d’atténuation conformément aux instructions du fournisseur, suivre la Binding Operational Directive BOD 22-01 pour les services cloud, ou cesser l’utilisation du produit si les mesures d’atténuation ne sont pas disponibles.

La BOD 22-01, « Reducing the Significant Risk of Known Exploited Vulnerabilities », impose la correction avant la date indiquée. Security Affairs cite cette directive à propos de la faille Oracle.

Parallèlement, le 21 août 2026, la CISA a également ajouté au KEV la vulnérabilité CVE-2026-73570, une injection de commande OS dans Zimbra Collaboration Suite (ZCS). L’alerte officielle de cette CVE cite la BOD 26-04, « Prioritizing Security Updates Based on Risk », qui établit des exigences de gestion des vulnérabilités pour les agences FCEB, en donnant la priorité aux CVE du KEV sur les actifs exposés publiquement. Pour Zimbra, la date limite fédérale était le 24 août 2026. Il ne faut pas confondre les deux ajouts : l’alerte officielle du 21 août concerne Zimbra, tandis que les données sur Oracle proviennent de NVD, du CVE Program et de Security Affairs.

Ce que les organisations doivent faire

Pour CVE-2026-21962, aucun numéro de correctif spécifique n’est indiqué dans l’enregistrement public. L’action requise par la CISA est générique : appliquer les mesures d’atténuation conformément aux instructions du fournisseur ou cesser l’utilisation du produit. Les organisations privées sont invitées à consulter le catalogue KEV et à corriger les vulnérabilités présentes dans leur infrastructure.

Sur le plan pratique, la priorité est de réduire l’exposition des composants proxy Oracle WebLogic sur Internet. Si le plug-in ou l’HTTP Server ne doivent pas être accessibles de l’extérieur, ils doivent être placés derrière un VPN ou un pare-feu avec des règles restrictives. Pour les CVE historiques capturées par l’honeypot, les recommandations déjà connues restent valables : mises à jour fournisseur pour CVE-2017-10271, CVE-2020-14882 et CVE-2020-14883, atténuations ou cessation d’utilisation pour CVE-2020-2551.

Le contexte : Oracle et les précédents récents dans le KEV

L’entrée de CVE-2026-21962 n’est pas un épisode isolé. Au cours des 90 derniers jours, d’autres vulnérabilités liées à Oracle et à des fournisseurs associés sont entrées dans le catalogue KEV : CVE-2026-46817 (15 juillet 2026), CVE-2026-35273 (12 juin 2026, associée à un ransomware) et CVE-2024-21182 (1er juin 2026). La pression sur l’écosystème Oracle reste forte, WebLogic et les composants middleware étant continuellement ciblés.

Les entreprises qui utilisent Oracle HTTP Server ou les plug-ins proxy pour WebLogic devraient vérifier immédiatement les versions installées et les comparer à celles indiquées. L’échéance fédérale américaine est proche, mais le risque ne concerne pas uniquement le secteur public : l’honeypot CloudSEK a démontré que les attaques démarrent automatiquement et sans authentification.