CISA dá 72 horas para corrigir falha 10.0 da Oracle explorada desde janeiro por grupo ligado à China

A Cybersecurity and Infrastructure Security Agency dos Estados Unidos incluiu na segunda-feira, 24 de agosto, uma vulnerabilidade de nota máxima da Oracle em seu catálogo de falhas exploradas ativamente. Agências federais civis têm até esta quarta-feira, 27 de agosto, para aplicar o patch. A CVE-2026-21962, com CVSS 10.0, permite que um atacante não autenticado com acesso à rede via HTTP comprometa o Oracle HTTP Server e o Proxy Plug-in do Oracle WebLogic Server, resultando em acesso ou modificação de dados críticos.

A falha não é nova. A CloudSEK detectou tentativas de exploração em seus honeypots em 22 de janeiro, imediatamente após a divulgação pública de um exploit de prova de conceito. Em julho, a SOCRadar reportou que a CVE-2026-21962 foi uma das vulnerabilidades usadas por um grupo de ameaça ligado à China em ataques contra infraestrutura governamental. O que muda agora é o prazo regulatório.

O que a KEV realmente significa

Para as agências civis federais americanas, a inclusão no catálogo Known Exploited Vulnerabilities é vinculante sob a Binding Operational Directive 22-01 da CISA. Setenta e duas horas é o padrão nesse ciclo. Para o resto do mercado, a KEV funciona como sinalização de risco: aparelhos que continuam vulneráveis passam a integrar o mapa de alvos preferenciais dos operadores criminais, que replicam o que vêem sendo usado por atores estatais.

O caso é raro. Uma nota 10.0 é o teto do CVSS e costuma vir com detecção pública, exploit escrito e presença em relatórios de threat intelligence. A CVE-2026-21962 marca as três caixas há oito meses. A questão que os CISOs precisam responder nesta semana não é se estão vulneráveis. É por que ainda não corrigiram.

Quem ainda roda Oracle WebLogic em produção

O produto tem base instalada em bancos, seguradoras, governos e operadoras de telecomunicações. Nos EUA, WebLogic sustenta camadas de integração e portais em pilhas legadas que resistiram a migrações para microsserviços em Kubernetes. Na Europa, particularmente na Alemanha e na Espanha, é comum encontrar WebLogic em stacks de pagamento e core banking que passaram por consolidações nos anos 2010. Em centros de serviço compartilhados na Índia e nas Filipinas, times terceirizados operam essas instâncias em nome de clientes globais.

O padrão de exposição, portanto, é conhecido. E é justamente a fragmentação de responsabilidade entre cliente, integrador e provedor gerenciado que estica o intervalo entre patch disponível e patch aplicado. Oito meses depois da publicação do PoC, ainda há instâncias públicas com o WebLogic sem correção. Levantamentos independentes de scans internet-wide colocam o número na casa das centenas.

O que a CISA está sinalizando

A escolha de um prazo de 72 horas para uma vulnerabilidade divulgada em janeiro carrega uma mensagem. A CISA já não trata a CVE-2026-21962 como algo pendente. Trata como algo que foi usado em campanhas atribuíveis a um ator estatal e que continua sendo explorado por operadores oportunistas que copiam a tática. O prazo curto reflete a urgência real do momento, não o calendário original de divulgação.

A Oracle não havia se pronunciado publicamente sobre casos específicos de exploração até o fechamento desta matéria. A empresa incluiu a correção em seu ciclo de Critical Patch Update e disponibilizou o patch para as versões afetadas. O ônus operacional, hoje, é do lado do cliente.

A BOD 22-01 é o mecanismo mais assertivo do arsenal regulatório de segurança do governo federal americano. Ela dispensa avaliações internas de risco: se a CVE entra na KEV, o patch é obrigatório dentro do prazo, sem espaço para exceção baseada em janela de manutenção. Órgãos que descumprem entram em relatórios trimestrais enviados à Casa Branca. O peso institucional é o que faz o mecanismo funcionar em ambientes onde a fila de patch, historicamente, se estica por meses.

O que isso reprecifica para consultorias e operações de segurança

Para times de MDR e SOC que atendem clientes multinacionais, a CVE-2026-21962 significa varredura imediata em toda a base gerenciada e evidência documentada de patch aplicado até o prazo. Para consultorias que oferecem GRC, o caso reforça uma tese antiga: KEV precisa entrar no SLA de patch por default, não como exceção. Para o banco europeu que herdou WebLogic em uma aquisição feita há uma década e nunca migrou, a semana começa complicada.

Cada CVE 10.0 que fica oito meses sem correção em produção é um dado sobre o modelo operacional. Não sobre o bug.