// TOM'S HARDWARE ITALIA — CYBERSECURITY
Falla 10,0 su Oracle HTTP e WebLogic è stata già sfruttata
Una falla con gravità massima nei componenti HTTP e proxy collegati a Oracle WebLogic Server viene già sfruttata in attacchi reali. Il 24 agosto la CISA ha inserito CVE-2026-21962 nel catalogo Known Exploited Vulnerabilities, la lista riservata alle vulnerabilità per le quali esistono prove concrete di compromissione. L’inclusione conferma quindi che il rischio ha superato il piano teorico, anche se l’agenzia statunitense non ha fornito dettagli sulle campagne osservate o sulle vittime.
CVE-2026-21962 riguarda un controllo improprio degli accessi, classificato come CWE-284, e ha ottenuto un punteggio CVSS 3.1 di 10,0. Un aggressore remoto con accesso HTTP può sfruttarla senza autenticazione, senza alcuna interazione dell’utente e con bassa complessità. Il vettore di attacco non richiede privilegi già acquisiti sul sistema, una combinazione che rende particolarmente esposte le installazioni raggiungibili attraverso la rete.
Un attacco riuscito può permettere la lettura completa dei dati accessibili ai componenti vulnerabili. L’impatto comprende anche la creazione, la modifica e la cancellazione non autorizzata di dati critici. La valutazione ufficiale assegna un impatto elevato a riservatezza e integrità, mentre il vettore CVSS non attribuisce conseguenze dirette alla disponibilità del servizio.
Il perimetro interessa Oracle HTTP Server e i WebLogic Server Proxy Plug-in impiegati con Apache HTTP Server e Microsoft IIS. Le versioni indicate da Oracle sono 12.2.1.4.0, 14.1.1.0.0 e 14.1.2.0.0. Per il plug-in destinato a IIS, l’esposizione è invece limitata alla sola versione 12.2.1.4.0. L’allerta riguarda dunque lo specifico livello HTTP e proxy, senza estendersi indistintamente a ogni installazione di WebLogic Server.
Oracle aveva già distribuito le correzioni attraverso il Critical Patch Update di gennaio 2026. Dal giorno successivo alla pubblicazione dell’aggiornamento, il Canadian Centre for Cyber Security aveva inoltre segnalato la disponibilità pubblica di un proof of concept. Tra la comparsa di codice dimostrativo e la conferma dello sfruttamento reale sono trascorsi circa sette mesi, durante i quali le installazioni rimaste senza patch hanno continuato a essere esposte.
Per le agenzie federali civili statunitensi, l’inserimento nel catalogo KEV comporta ora un obbligo preciso: applicare le mitigazioni indicate dal produttore entro il 27 agosto. La scadenza e l’azione richiesta sono riportate nella scheda CISA dedicata a CVE-2026-21962. Per le altre organizzazioni il termine non è vincolante, ma la combinazione tra exploit pubblico, sfruttamento confermato e accesso remoto senza credenziali delimita chiaramente le installazioni da verificare.
Aggiungi Tom's Hardware alle tue fonti preferite su Google