Un reciente estudio de ciberseguridad revela que los actores de amenazas están actuando más rápido que nunca para aprovechar nuevas vulnerabilidades en el software. Según datos recopilados de un honeypot de alta interacción, los hackers están explotando activamente una vulnerabilidad recién revelada y de gravedad máxima en Oracle WebLogic Server. La falla crítica, identificada como CVE-2026-21962, tiene una puntuación CVSS de 10.0. 

Un estudio reciente de ciberseguridad revela que los actores de amenazas están actuando más rápido que nunca para armar nuevas vulnerabilidades de software.

Según datos recopilados de un honeypot de alta interacción, los hackers están explotando activamente una vulnerabilidad recién revelada de gravedad máxima en Oracle WebLogic Server.

La falla crítica, identificada como CVE-2026-21962, tiene una puntuación CVSS de 10.0. Permite a atacantes no autenticados ejecutar código remoto arbitrario (RCE) en servidores vulnerables a través de la consola de WebLogic.

Los investigadores de seguridad observaron intentos de ataque inmediatamente después de que el código de explotación se publicara en línea el 22 de enero de 2026.

Esta explotación ultrarrápida destaca el riesgo extremo al que se enfrentan las organizaciones que ejecutan instancias sin parchear.

El honeypot captura ataques automatizados

Para entender el panorama de amenazas, los investigadores desplegaron un honeypot de alta interacción que simulaba un servidor vulnerable de Oracle WebLogic (versión 14.1.1.0.0) durante 12 días.

El sistema capturó rápidamente un aumento masivo de tráfico malicioso. Los atacantes utilizaron principalmente servidores privados virtuales (VPS) alquilados de proveedores populares, como DigitalOcean y HOSTGLOBAL.PLUS, para lanzar escaneos automatizados de alto volumen mientras ocultaban sus ubicaciones reales.

En lugar de ataques cuidadosamente dirigidos, los actores de amenazas emplearon un enfoque de "spray and pray" (rociar y rezar).

Herramientas automatizadas como libredtail-http (que generó más de 1.000 solicitudes) y el Nmap Scripting Engine inundaron el honeypot con peticiones maliciosas.

Aunque el objetivo principal era explotar la nueva vulnerabilidad CVE-2026-21962 mediante solicitudes HTTP GET específicas a ProxyServlet, los atacantes también probaron intensamente el servidor en busca de vulnerabilidades antiguas sin parchear.

Los datos confirman que los ciberdelincuentes no solo persiguen zero-days; también dependen en gran medida de exploits antiguos y probados.

Adaptado para una lectura clara sin estructuras de datos complejas, el honeypot registró ataques constantes contra varias vulnerabilidades históricas de WebLogic:

• CVE-2020-14882 y CVE-2020-14883: Fallas críticas de RCE (CVSS 9.8) que atacan la consola administrativa eludiendo la autenticación.
• CVE-2020-2551: Una grave vulnerabilidad de deserialización en el protocolo IIOP que permite a atacantes remotos ejecutar código arbitrario.
• CVE-2017-10271: Una falla antigua pero altamente confiable de deserialización XML en el componente WLS-WSAT, explotada frecuentemente mediante solicitudes SOAP manipuladas.

Curiosamente, los escáneres automatizados también identificaron vulnerabilidades completamente ajenas, como errores en cámaras Hikvision y en PHPUnit, lo que demuestra que los atacantes lanzan una red amplia, buscando cualquier puerta abierta.

Pasos de mitigación

La rápida weaponización de CVE-2026-21962 significa que las organizaciones deben actuar inmediatamente para proteger sus redes.

Según CloudSEK, los expertos en ciberseguridad recomiendan las siguientes defensas críticas:

• Aplicar parches de inmediato: Los administradores deben instalar las últimas Actualizaciones de Parches Críticos (CPUs) de Oracle en todos los componentes, priorizando las correcciones para CVE-2026-21962.
• Restringir el acceso a la consola: La consola administrativa de WebLogic nunca debe estar expuesta directamente a Internet. Protégela detrás de una VPN estricta o un firewall interno.
• Implementar un Firewall de Aplicaciones Web (WAF): Configura reglas WAF para detectar y bloquear solicitudes maliciosas de recorrido de rutas, intentos de evasión de Inspección Profunda de Paquetes (DPI) y firmas de exploits conocidos.
• Monitorear registros del sistema: Vigila de cerca intentos inusuales de acceso administrativo o la ejecución repentina de comandos sospechosos del sistema operativo, como wget o curl.

Dejar un servidor WebLogic expuesto y sin parchear es prácticamente una garantía de compromiso total del sistema.

Fuentes:
https://cybersecuritynews.com/hackers-exploiting-weblogic-rce-vulnerabilities/