Oracle CVE-2026-21962 entra nel KEV: punteggio massimo e accesso non autorizzato a WebLogic

Una falla critica pubblicata a gennaio, ora nel catalogo delle vulnerabilità sfruttate

La CISA ha inserito la vulnerabilità CVE-2026-21962 nel catalogo Known Exploited Vulnerabilities (KEV). L’inserimento risulta registrato il 24 agosto 2026; la scadenza per la correzione da parte delle agenzie federali statunitensi è fissata al 27 agosto 2026.

La falla interessa Oracle HTTP Server e Oracle WebLogic Server Proxy Plug-in per Apache HTTP Server e per IIS. Il punteggio CVSS v3 è 10,0, il massimo possibile. La natura del difetto è un controllo degli accessi improprio (CWE-284): un attaccante non autenticato può agire via rete attraverso HTTP, senza bisogno di credenziali o interazione con l’utente.

Secondo il record CVE Program, la vulnerabilità è stata pubblicata il 20 gennaio 2026. La descrizione tecnica indica che un attacco riuscito può causare accesso non autorizzato, creazione, cancellazione o modifica di dati critici e, in alcuni casi, accesso completo ai dati accessibili tramite i componenti vulnerabili.

Dettagli tecnici: vettore, cambio di scope e impatto sui dati

Il vettore CVSS 3.1 ufficiale è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Tradotto: attacco da rete, complessità bassa, nessun privilegio richiesto, nessuna interazione utente, scope changed (S:C), impatto alto su riservatezza e integrità, nessun impatto sulla disponibilità. Il cambio di scope è un punto chiave: pur essendo localizzata nei componenti Oracle, la falla può coinvolgere altri sistemi o applicazioni collegati.

La scheda NVD classifica la vulnerabilità come CWE-284 (Improper Access Control), non come remote code execution. Un rapporto CloudSEK di marzo 2026, citato da Security Affairs, la definisce invece come RCE critica non autenticata con CVSS 10,0. Entrambe le attribuzioni vanno riportate: il vettore ufficiale non include impatto sulla disponibilità e la descrizione CVE Program parla di accesso e modifica dati, non esplicitamente di esecuzione di codice.

Versioni coinvolte e ambienti a rischio

Le versioni interessate secondo il record CVE Program sono:

• Oracle HTTP Server e Oracle WebLogic Server Proxy Plug-in (Apache HTTP Server): 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0
• Oracle WebLogic Server Proxy Plug-in per IIS: solo la versione 12.2.1.4.0

La scheda NVD elenca nel campo prodotti solo le versioni 12.2.1.4.0 per entrambi i componenti, ma la descrizione estesa e il record CVE Program includono anche 14.1.1.0.0 e 14.1.2.0.0. Prevale il dato del CVE Program.

Un componente proxy Oracle WebLogic esposto su Internet può offrire a un attaccante un percorso verso sistemi backend critici senza richiedere autenticazione. Questo rende particolarmente rischiosi gli ambienti che pubblicano direttamente il plug-in o l’HTTP Server senza adeguate restrizioni di rete.

Sfruttamento attivo osservato già tra gennaio e febbraio

L’attività di sfruttamento non è teorica. Un honeypot ad alta interazione di CloudSEK, attivo dal 22 gennaio al 3 febbraio 2026, ha simulato un Oracle WebLogic Server 14.1.1.0.0 e ha registrato attacchi immediati e diffusi contro CVE-2026-21962. Nel rapporto la falla viene descritta come RCE critica non autenticata.

Oltre a questa, l’honeypot ha catturato tentativi contro vulnerabilità RCE storiche di WebLogic:

• CVE-2020-14882/14883 — RCE da Console (HTTP, senza autenticazione)
• CVE-2020-2551 — RCE via IIOP
• CVE-2017-10271 — RCE via WLS-WSAT (T3, senza autenticazione)

CloudSEK conclude che i threat actor continuano a puntare su un insieme ridotto di vulnerabilità altamente efficaci e semplici da sfruttare per compromettere ambienti WebLogic. La presenza di tre CVE risalenti al 2020 e al 2017 accanto alla nuova falla indica che molti sistemi restano esposti a problemi noti da anni.

CISA, KEV e direttive operative: cosa cambia per le agenzie federali

L’inserimento nel catalogo KEV comporta vincoli per le agenzie federali civili ed esecutive statunitensi (FCEB). Per CVE-2026-21962, la scadenza di remediation è il 27 agosto 2026. L’azione richiesta da CISA è: applicare le mitigazioni secondo le istruzioni del vendor, seguire la Binding Operational Directive BOD 22-01 per i servizi cloud, oppure dismettere l’uso del prodotto se le mitigazioni non sono disponibili.

La BOD 22-01, “Reducing the Significant Risk of Known Exploited Vulnerabilities”, impone la correzione entro la data indicata. Security Affairs cita questa direttiva in relazione alla falla Oracle.

In parallelo, il 21 agosto 2026 CISA ha inserito nel KEV anche CVE-2026-73570, una OS command injection in Zimbra Collaboration Suite (ZCS). L’alert ufficiale per quella CVE cita la BOD 26-04, “Prioritizing Security Updates Based on Risk”, che stabilisce requisiti di gestione delle vulnerabilità per le agenzie FCEB, dando priorità alle CVE del KEV su asset esposti pubblicamente. Per la Zimbra, la scadenza federale era il 24 agosto 2026. Le due aggiunte non vanno confuse: l’alert ufficiale del 21 agosto riguarda Zimbra, mentre i dati sulla Oracle provengono da NVD, CVE Program e Security Affairs.

Cosa devono fare le organizzazioni

Per CVE-2026-21962 non sono indicati numeri di patch specifici nel record pubblico. L’azione richiesta da CISA è generica: applicare le mitigazioni secondo le istruzioni del vendor oppure dismettere il prodotto. Le organizzazioni private sono invitate a consultare il catalogo KEV e a correggere le vulnerabilità presenti nella propria infrastruttura.

Sul piano pratico, la priorità è ridurre l’esposizione dei componenti proxy Oracle WebLogic su Internet. Se il plug-in o l’HTTP Server non devono essere raggiungibili dall’esterno, vanno posti dietro VPN o firewall con regole restrittive. Per le CVE storiche catturate dall’honeypot, restano valide le indicazioni già note: aggiornamenti vendor per CVE-2017-10271, CVE-2020-14882 e CVE-2020-14883, mitigazioni o dismissione per CVE-2020-2551.

Il contesto: Oracle e i precedenti recenti nel KEV

L’ingresso di CVE-2026-21962 non è un episodio isolato. Negli ultimi 90 giorni sono entrate nel catalogo KEV anche altre vulnerabilità legate a Oracle e a vendor collegati: CVE-2026-46817 (15 luglio 2026), CVE-2026-35273 (12 giugno 2026, associata a ransomware) e CVE-2024-21182 (1 giugno 2026). La pressione sull’ecosistema Oracle resta alta, con WebLogic e i componenti middleware continuamente presi di mira.

Le aziende che utilizzano Oracle HTTP Server o i proxy plug-in per WebLogic dovrebbero verificare subito le versioni installate e incrociarle con quelle indicate. La scadenza federale americana è ravvicinata, ma il rischio non riguarda solo il settore pubblico: l’honeypot CloudSEK ha dimostrato che gli attacchi partono in modo automatico e senza autenticazione.