La vulnerabilidad tiene una puntuación base CVSS 3.1 de 9.8, lo que la sitúa entre las clasificaciones más graves dentro del marco de riesgo de Oracle.

El CVE-2026-21992 es una falla explotable de forma remota sin autenticación, que no requiere interacción del usuario ni privilegios especiales para ser explotada. El vector de ataque es basado en red con baja complejidad, lo que significa que un actor malicioso solo necesita acceso HTTP a un endpoint expuesto para potencialmente desencadenar la ejecución remota de código.

Tanto las categorías de impacto en Confidencialidad, Integridad y Disponibilidad están calificadas como Altas, lo que indica que una explotación exitosa podría otorgar a un atacante el control total sobre el sistema afectado.

En Oracle Identity Manager, la vulnerabilidad reside en el componente REST Web Services, mientras que en Oracle Web Services Manager, la falla existe dentro del módulo Web Services Security.

Oracle señala que Web Services Manager suele instalarse junto con Oracle Fusion Middleware Infrastructure, lo que amplía la posible superficie de ataque en implementaciones empresariales.

Versiones afectadas

La vulnerabilidad impacta en las siguientes versiones de los productos:

Ambas versiones afectadas pertenecen al ciclo de parches de Fusion Middleware, con documentación disponible a través de la página de Alerta de Seguridad de Oracle y My Oracle Support (ID del documento KB878741).

Una puntuación CVSS de 9.8 sin requerimiento de autenticación hace que esta vulnerabilidad sea especialmente peligrosa para organizaciones con implementaciones de Oracle Fusion Middleware expuestas a Internet.

Oracle Identity Manager es una plataforma de gobernanza de identidades ampliamente utilizada, y Oracle Web Services Manager gestiona la aplicación de políticas de seguridad para servicios web; ambos son componentes críticos de infraestructura en entornos empresariales y gubernamentales. La explotación de cualquiera de ellos podría resultar en la compromisión total del sistema, el robo de credenciales o el movimiento lateral a través de sistemas conectados.

Oracle insta a todos los clientes a aplicar los parches disponibles inmediatamente. La alerta, publicada inicialmente el 19 de marzo de 2026, recibió una revisión actualizada el 20 de marzo de 2026, con una nota adicional de Oracle.

Las organizaciones que ejecuten versiones no compatibles de los productos afectados deben actualizar a una versión compatible, ya que los parches solo se proporcionan para versiones bajo Premier Support o Extended Support, según la Política de Soporte Vitalicio de Oracle.

Los equipos de seguridad deben priorizar el parcheo de cualquier instancia accesible externamente y revisar la exposición HTTP/HTTPS de los endpoints de REST Web Services y Web Services Security hasta completar la remediación. Los clientes pueden consultar la matriz de riesgo completa y los detalles detallados del CVE en el portal oficial de Alertas de Seguridad de Oracle.