Mit der Aufnahme von CVE-2026-21962 in den KEV-Katalog hat CISA eine besonders knappe Frist gesetzt: Zwischen dem Eintrag am 24. August und dem Stichtag für US-Bundesbehörden am 27. August liegen nur drei Tage. Die Bewertung der Lücke mit dem Maximalwert 10 auf der CVSS-Skala erklärt die Eile — die Remote-Code-Execution-Schwachstelle lässt sich ohne vorherige Anmeldung ausnutzen.
Technisch betroffen sind zwei Komponenten aus dem Oracle-Umfeld: der Oracle HTTP Server und das WebLogic Server Proxy Plugin, das als Brücke zwischen HTTP Server und WebLogic dient. Einen Patch stellte Oracle bereits mit seinen Aktualisierungen im Januar 2026 bereit.
Dass die Lücke tatsächlich angegriffen wird, ist seit Monaten dokumentiert. CloudSEK meldete die ersten Attacken und warnte im März, dass die eigenen Honeypots seit dem 22. Januar Ausnutzungsversuche gegen Oracle-WebLogic-Server registriert hätten — unmittelbar nachdem ein Proof-of-Concept-Exploit öffentlich geworden war.
Auch andere Anbieter griffen das Thema auf. FalconFeeds erwähnte die Ausnutzung im Juni in einer Darstellung der Lieferkette der Cyberkriminalität; die Schwachstelle war dort eine von mehreren, die gegen Unternehmen eingesetzt wurden, konkrete Details nannte der Beitrag jedoch nicht. SOCRadar berichtete im Juli, dass CVE-2026-21962 zu den Lücken gehörte, die ein mit China in Verbindung gebrachter Bedrohungsakteur bei Angriffen auf staatliche Infrastruktur ausnutzte.
Welche dieser oder welche weiteren Angriffe letztlich den Anlass für die CISA-Warnung gaben, geht aus der Aufnahme in den Katalog nicht hervor. Formal richtet sich die KEV-Liste an US-Bundesbehörden; sie steht aber allen Organisationen als Grundlage zur Verfügung, um Patches nach tatsächlichem Ausnutzungsrisiko zu priorisieren.
WebLogic-Installationen zählen seit Jahren zu den beliebten Zielen von Angreifern. Der KEV-Katalog führt inzwischen mehr als ein Dutzend Schwachstellen in dieser Serverplattform.