Oracle ha revelado una grave vulnerabilidad de seguridad que afecta a su suite Fusion Middleware, específicamente dirigida al Oracle HTTP Server y al Oracle WebLogic Server Proxy Plug-in. Identificada como CVE-2026-21962, esta falla tiene la máxima calificación de gravedad y representa una amenaza inmediata para los entornos empresariales que utilizan estos componentes proxy. 

Oracle ha revelado una grave vulnerabilidad de seguridad que afecta a su suite Fusion Middleware, específicamente al Oracle HTTP Server y al Oracle WebLogic Server Proxy Plug-in.

Asignada como CVE-2026-21962, esta falla tiene la máxima calificación de gravedad y representa una amenaza inmediata para los entornos empresariales que utilizan estos componentes proxy.

La vulnerabilidad surge de un defecto en la forma en que los WebLogic Server Proxy Plug-ins para Apache HTTP Server y Microsoft IIS manejan las solicitudes entrantes. Debido a que la falla se encuentra en la capa proxy, expone la infraestructura crítica a explotación remota no autenticada sin necesidad de interacción del usuario.

Vulnerabilidad en el Proxy del Oracle WebLogic Server

Esta vulnerabilidad se caracteriza por su baja complejidad de ataque y alto impacto. Un atacante no autenticado con acceso a la red mediante HTTP puede explotar esta falla para eludir por completo los controles de seguridad.

El problema afecta al Oracle HTTP Server y al WebLogic Server Proxy Plug-in, que suelen implementarse en DMZ para reenviar solicitudes a clústeres WebLogic en el backend.

Según la divulgación, la vulnerabilidad permite el acceso no autorizado a datos críticos. Además, permite a los atacantes manipular la integridad del sistema, otorgándoles la capacidad de crear, eliminar o modificar datos accesibles para el Oracle HTTP Server.

Un aspecto significativo de este CVE es la métrica "Cambio de Alcance" (S:C) en el vector CVSS. Esto indica que, aunque la vulnerabilidad existe dentro del Proxy Plug-in, una explotación exitosa puede afectar recursos y componentes más allá del propio plug-in, permitiendo potencialmente a los atacantes moverse lateralmente hacia el entorno WebLogic del backend.

La falla ha recibido una puntuación base CVSS 3.1 de 10.0, lo que subraya su naturaleza crítica. Aunque el impacto en la disponibilidad se lista como nulo en el vector, la pérdida total de confidencialidad e integridad deja el servidor efectivamente comprometido.

Versiones y Componentes Afectados

Los administradores deben verificar sus instalaciones de inmediato. La vulnerabilidad afecta al componente de Oracle Fusion Middleware: WebLogic Server Proxy Plug-in para Apache HTTP Server y WebLogic Server Proxy Plug-in para IIS.

Las versiones específicas compatibles vulnerables a esta explotación incluyen:

• Oracle HTTP Server / Proxy Plug-in: Versiones 12.2.1.4.0, 14.1.1.0.0 y 14.1.2.0.0.
• WebLogic Server Proxy Plug-in para IIS: Afectado únicamente en la versión 12.2.1.4.0.

Dada la facilidad de explotación y la criticidad de los datos en riesgo, se insta a las organizaciones a aplicar de inmediato los parches necesarios proporcionados en la Actualización de Parches Críticos (CPU) de Oracle.

Si no es posible aplicar los parches de inmediato, los equipos de seguridad deberían considerar restringir el acceso a la red a los puertos HTTP afectados solo a direcciones IP de confianza, aunque esto pueda interrumpir el tráfico web legítimo.