CISA beschreibt die Schwachstelle als fehlerhafte Zugriffskontrolle: Oracle HTTP Server und das Oracle WebLogic Server Proxy Plug-in enthielten eine Lücke, die “unbefugtes Erstellen, Löschen oder Verändern kritischer Daten sowie unbefugten Zugriff auf kritische Daten oder den vollständigen Zugriff auf sämtliche über Oracle HTTP Server und das Oracle WebLogic Server Proxy Plug-in erreichbaren Daten” ermöglichen könne.
Damit ist CVE-2026-21962 mit einem CVSS-Wert von 10.0 auf der höchsten Stufe eingeordnet. Voraussetzung für einen Angriff ist lediglich Netzwerkzugriff über HTTP — eine Authentifizierung ist nicht erforderlich. Oracle hat die zugehörigen Patches bereits im Januar bereitgestellt.
Dass die Lücke nicht theoretisch bleibt, belegen Beobachtungen von GreyNoise und CloudSEK. Im Februar 2026 wurde bekannt, dass eine einzelne IP-Adresse (“193.24.123[.]42”) versuchte, gleich mehrere bekannte Schwachstellen auszunutzen — neben Oracle WebLogic auch Lücken in Ivanti Endpoint Manager Mobile, GNU InetUtils und GLPI.
Einen Monat später meldete CloudSEK Angriffsversuche gegen sein Honeypot-Netzwerk. Dort schlugen nicht nur Zugriffe auf CVE-2026-21962 auf, sondern auch auf ältere, weiterhin populäre WebLogic-Lücken zur Codeausführung aus der Ferne: CVE-2020-14882 und CVE-2020-14883 (Console-RCE), CVE-2020-2551 (IIOP-RCE) sowie CVE-2017-10271 (WLS-WSAT-RCE).
“Das bestätigt, dass Angreifer sich weiterhin auf eine kleine Auswahl hochwirksamer, leicht ausnutzbarer Schwachstellen stützen, um WebLogic-Umgebungen zu kompromittieren”, hielt CloudSEK damals fest. Die Bandbreite der beobachteten Ziele zeigt, dass die neue Lücke in ein bestehendes Repertoire eingereiht wird, statt es zu ersetzen.
Mit der Aufnahme in den KEV-Katalog greift für die US-Bundesbehörden der zivilen Exekutive die Binding Operational Directive 26-04. Ihnen wird empfohlen, die erforderlichen Korrekturen bis zum 27. August 2026 anzuwenden, um ihre Netze abzusichern. Der KEV-Eintrag dient darüber hinaus als Signal für Betreiber außerhalb der US-Verwaltung, verfügbare Oracle-Patches für HTTP Server und das WebLogic Server Proxy Plug-in einzuspielen.