CISA dá 72 horas para agências federais fecharem falha de 7 meses no Oracle WebLogic
A falha crítica CVE-2026-21962 no proxy plug-in do WebLogic foi patchada em janeiro, gerou mais de 140 mil tentativas de ataque em 21 países e só agora entrou na lista de exploração ativa da agência americana.
A agência americana de cibersegurança CISA adicionou nesta segunda-feira a CVE-2026-21962 ao seu catálogo de vulnerabilidades exploradas ativamente. O prazo dado a agências federais para remediar é 27 de agosto: três dias corridos. A falha, de gravidade máxima CVSS 10,0, atinge o Oracle HTTP Server e o Oracle WebLogic Server Proxy Plug-in nas versões 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0. Permite a um atacante sem credenciais acessar, modificar ou apagar todo o conteúdo servido pelo componente vulnerável.
O patch existe desde 20 de janeiro. Em 48 horas após a publicação, um proof-of-concept apareceu no GitHub. Até 3 de fevereiro, pesquisadores da CloudSEK e da Imperva já haviam registrado 140 mil tentativas de exploração em 21 países. A adição ao KEV chega, portanto, sete meses depois de a vulnerabilidade estar sendo explorada em produção, e semanas depois de o NHS England Digital ter emitido comunicado formal a operadores de saúde no Reino Unido pedindo a aplicação imediata do patch.
A nova urgência vem da Diretriz Operacional Vinculante BOD 26-04, que Washington passou a exigir cumprimento estrito no segundo trimestre. Sob a BOD, itens do KEV precisam ser corrigidos em janelas curtas quando estão expostos à internet pública. Três dias, no caso de uma falha crítica em software que serve como proxy HTTP em milhares de instâncias federais, é o limite operacional que a CISA tem usado como padrão para incidentes ativos.
O motor técnico da brecha
O problema não está no WebLogic em si, mas na inconsistência entre como o Oracle HTTP Server, rodando o plug-in de proxy, normaliza URIs recebidas e como o backend WebLogic interpreta o mesmo caminho. A dupla decodificação abre porta para requisições que passam pela camada de autenticação como se estivessem endereçadas a rotas públicas, mas chegam ao backend com o path original, permitindo acesso irrestrito. É uma variação de um padrão que já derrubou proxies IIS e Apache em anos anteriores, e o motivo pelo qual a NetSPI classifica a exploração como trivial de reproduzir.
Não há mitigação intermediária estável. A recomendação da Oracle é aplicar o patch de janeiro sem exceções. Onde o patch ainda não puder ser aplicado, o consenso entre vendors de scanner é isolar o componente atrás de um WAF configurado para rejeitar requisições com múltiplas codificações no path, com auditoria de logs em busca do padrão específico de exploração.
Onde a exposição real está
No Reino Unido, o NHS England Digital publicou alerta de patch para operadores de saúde que rodam WebLogic para integração de sistemas de prontuário. Bancos britânicos ainda operam WebLogic em stacks legadas de front-office. Sete meses depois do patch e com 140 mil tentativas de exploração registradas, o assunto retorna à mesa das áreas de risco de tecnologia em Londres, apoiado na exigência da CISA como benchmark internacional.
No Japão, o WebLogic segue como componente de referência para integração em grandes bancos e conglomerados industriais. A exploração é remota e não requer credenciais, o que aumenta o risco para times que ainda operam instâncias com exposição parcial à internet mesmo por trás de firewall. A adição ao KEV pela CISA cria pressão para que a JPCERT/CC atualize seu comunicado, já que o benchmark americano costuma alimentar as diretrizes de auditoria das grandes casas japonesas.
O padrão que a CISA está impondo
Adicionar ao KEV uma vulnerabilidade patchada em janeiro é um recado ao mercado. A CISA está aceitando janelas curtas de detecção-para-remediação, mesmo quando a exploração ativa vem sendo tolerada por meses. Para diretores de segurança que ainda tratam o KEV como lista de sugestão, o sinal é diferente: a agência agora usa a inclusão como martelo regulatório, encurta os prazos e exige evidência de remediação. Isso vale para o setor federal, mas serve como piso de expectativa para auditores em qualquer jurisdição que faça benchmark contra a política americana. Times de segurança que já rodavam scan mensal em WebLogic terão que responder à pergunta desagradável: por que a instância exposta continuou expondo entre janeiro e agosto?