CISA Alerta: Falha Crítica no Oracle Exige Ação Imediata de Agências Federais

A CISA inseriu a vulnerabilidade CVE-2026-21962, que afeta o Oracle HTTP Server e o Oracle WebLogic Server Proxy Plug-in, em seu catálogo KEV (Known Exploited Vulnerabilities) com urgência máxima. Com um CVSS de 10.0, a falha permite exploração remota via HTTP, sem necessidade de autenticação ou credenciais. Isso significa que atacantes podem acessar, modificar ou apagar dados críticos facilmente, tornando-a uma ameaça direta à integridade de sistemas governamentais e empresariais.

O cenário é mais complicado pelo atraso. Embora a Oracle tenha corrigido o problema em 20 de janeiro de 2026, com o patch do Critical Patch Update de janeiro, tentativas de exploração foram notadas já em 22 de janeiro de 2026, e código de exploração público surgiu em março. A CISA só adicionou a CVE ao KEV em 24 de agosto de 2026, quase sete meses após a correção inicial. Esse hiato de 216 dias entre o patch e o alerta urgente da CISA permitiu que atacantes explorassem a falha por um longo período. Como já observamos em junho de 2026 com a vulnerabilidade CVE-2024-21182 no Oracle WebLogic Server, ambientes Oracle continuam sendo alvos frequentes, exigindo vigilância constante.

A grande mudança aqui não está na vulnerabilidade em si, mas no cenário de sua mitigação. Em janeiro de 2026, quando o patch saiu, a correção era uma tarefa de manutenção rotineira. Agora, em agosto, após sete meses de exploração ativa confirmada e a inclusão tardia no catálogo KEV da CISA, a história é outra. O prazo de três dias para agências federais, sob o BOD 26-04, transforma uma simples atualização em uma corrida contra o tempo, exigindo inclusive triagem forense para identificar possíveis comprometimentos.

Esta situação é um alerta crítico para todas as organizações. Primeiro, o atraso de quase sete meses na inclusão da CVE-2026-21962 no catálogo KEV da CISA evidencia que o tempo entre a publicação de um patch e a formalização do alerta pode ser perigosamente longo. Segundo, com cerca de 79 mil instâncias do Oracle HTTP Server expostas, a janela de exploração foi vasta. Ignorar o patching significa abrir as portas para perda, manipulação ou exfiltração de dados, não só para agências federais, mas para qualquer empresa que use os produtos Oracle afetados.