Uma vulnerabilidade crítica no Oracle HTTP Server e no Oracle WebLogic Server Proxy Plug-in entrou no radar das autoridades após evidências de exploração ativa. Identificada como CVE-2026-21962, a falha recebeu pontuação 10,0 no CVSS, o nível máximo de severidade.
O problema permite que um invasor remoto, sem necessidade de autenticação, explore o serviço por meio de requisições HTTP. Um ataque bem-sucedido pode resultar em acesso não autorizado a informações críticas, além da criação, exclusão ou modificação de dados acessíveis pelo sistema.
A Oracle disponibilizou a correção em seu pacote de atualizações de janeiro de 2026. As versões afetadas incluem 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0, com particularidades dependendo do servidor utilizado.
A situação ganhou maior urgência em 24 de agosto, quando a CISA incluiu a vulnerabilidade em seu catálogo de falhas conhecidas exploradas, o KEV. Agências civis federais dos Estados Unidos receberam prazo até 27 de agosto de 2026 para corrigir sistemas vulneráveis ou adotar as medidas determinadas pela agência.
Há ainda um agravante: um código de prova de conceito (PoC) tornou-se público em 21 de janeiro, apenas um dia depois da divulgação da atualização da Oracle.
No Brasil, o CTIR Gov também emitiu alerta recomendando que instituições identifiquem instalações vulneráveis e apliquem imediatamente as correções disponibilizadas pelo fabricante.
O episódio reforça o risco de manter sistemas corporativos expostos sem atualizações, especialmente quando uma vulnerabilidade possui exploração ativa e código técnico disponível publicamente.
