Luka w Oracle HTTP Server i wtyczce WebLogic Proxy Plug-in pozwala bez logowania dostać się do krytycznych danych. CISA potwierdza ataki, publiczny PoC istnieje. Zainstaluj poprawki Oracle ze stycznia 2026 i sprawdź logi.
Ten alert jest dla zarządu, CTO i CFO firm, które udostępniają aplikacje biznesowe przez Oracle HTTP Server lub wtyczkę Oracle WebLogic Server Proxy Plug-in. Werdykt: jeśli używasz wersji 12.2.1.4.0, 14.1.1.0.0 lub 14.1.2.0.0 bez poprawek Oracle ze stycznia 2026 roku, zainstaluj je dziś i sprawdź serwery pod kątem włamania, bo luka ma maksymalną ocenę 10.0, a ataki trwają od miesięcy.
Amerykańska agencja CISA 24 sierpnia 2026 roku dopisała CVE-2026-21962 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Agencjom federalnym dała trzy dni na naprawę i nakazała sprawdzić, czy do włamania nie doszło przed instalacją poprawki.
Luka tkwi w Oracle HTTP Server i we wtyczce, która przekazuje ruch z serwera WWW (Apache lub IIS) do serwerów aplikacji Oracle WebLogic. Według Oracle napastnik bez logowania, przez zwykłe połączenie HTTP, może uzyskać dostęp do krytycznych danych oraz je tworzyć, zmieniać i usuwać. Oracle wydał poprawkę 20 stycznia 2026 roku w kwartalnym pakiecie Critical Patch Update. Firmy bezpieczeństwa odnotowują próby ataków od stycznia.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-21962 |
Data dodania do CISA KEV | 2026-08-24 |
Termin naprawy wg CISA | 2026-08-27 |
Produkt | Oracle Fusion Middleware: Oracle HTTP Server oraz Oracle WebLogic Server Proxy Plug-in (dla Apache HTTP Server i dla IIS) |
Wersje zagrożone | 12.2.1.4.0, 14.1.1.0.0 i 14.1.2.0.0; wtyczka dla IIS tylko w wersji 12.2.1.4.0. Atak możliwy bez logowania, przez HTTP |
Wersje bezpieczne | Te same wersje z poprawkami z Critical Patch Update ze stycznia 2026 roku (wydanie 2026-01-20) lub nowszego pakietu; konkretne numery poprawek Oracle publikuje w portalu My Oracle Support |
Typ podatności | Niewłaściwa kontrola dostępu; CWE-284 |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, Oracle; NVD przyjmuje ocenę Oracle). Atak sieciowy, łatwy, bez uprawnień i bez udziału użytkownika, ze skutkami wykraczającymi poza sam komponent. Wpływ na poufność i integralność, bez wpływu na dostępność |
Wyobraź sobie biurowiec, w którym recepcja wpuszcza gości tylko do sali spotkań na parterze, a biura zarządu i archiwum są za drzwiami, do których prowadzi wyłącznie korytarz za recepcją. Okazuje się, że recepcjonista daje się zmylić odpowiednio sformułowanym zaproszeniem i sam odprowadza gościa do archiwum.
Oracle HTTP Server i wtyczka proxy to właśnie taka recepcja. Stoją między internetem a serwerami aplikacji WebLogic, na których działają systemy firmy, i decydują, kto może gdzie wejść. Luka pozwala obcemu, bez hasła, obejść tę kontrolę i dostać się do danych, które miały być chronione.
💡 Oracle HTTP Server to serwer WWW Oracle oparty na Apache. WebLogic Server to serwer aplikacji, na którym działają m.in. systemy biznesowe i portale. Wtyczka proxy to element przekazujący żądania z serwera WWW do WebLogic. Critical Patch Update (CPU) to kwartalny pakiet poprawek Oracle. PoC to publicznie dostępny kod pokazujący, jak wykorzystać lukę.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obcy użytkownik z internetu | Widzi tylko publiczne strony | Może dotrzeć do chronionych danych |
Dane obsługiwane przez serwer | Zmiany tylko po zalogowaniu | Możliwe tworzenie, zmiana i usuwanie bez logowania |
Serwery WebLogic za pośrednikiem | Ukryte za kontrolą dostępu | Kontrolę można obejść |
Wpływ na inne systemy | Ograniczony do jednego komponentu | Według Oracle może dotknąć innych produktów |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka jest dostępna dla każdego, kto może połączyć się z serwerem przez HTTP, więc najbardziej narażone są serwery widoczne z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 | Automatyczne wyszukiwanie serwerów Oracle HTTP Server i WebLogic w internecie | Lista potencjalnych celów |
2. Próba obejścia kontroli | T+minuty | Wysłanie spreparowanych żądań do serwera pośredniczącego | Dostęp do chronionych zasobów |
3. Dostęp do danych | T+minuty do godzin | Odczyt lub zmiana danych obsługiwanych przez serwer | Wyciek lub manipulacja danymi |
4. Rozszerzenie ataku | T+godziny do dni | Wykorzystanie dostępu do ataku na serwery aplikacji i instalacji narzędzi | Trwała obecność w sieci |
5. Wykorzystanie | T+dni do tygodni | Kradzież danych, szpiegostwo, sprzedaż dostępu innym grupom | Straty finansowe i prawne |
Oracle HTTP Server i WebLogic obsługują zwykle ważne systemy: portale klientów, systemy zamówień, integracje z partnerami. To serwery z założenia wystawione do internetu. Luka ma maksymalną ocenę, nie wymaga logowania, a według firm bezpieczeństwa przestępcy próbują ją wykorzystywać od stycznia 2026 roku.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie portalu lub systemu na czas analizy i odtworzenia | Dni | 50 tys. do 400 tys. PLN (przestój, prace ratunkowe) |
Bezpieczeństwo danych | Kradzież lub zmiana danych klientów i danych biznesowych | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, korekty błędnych danych, utracona sprzedaż | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów portalu i partnerów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Oracle HTTP Server i WebLogic Proxy Plug-in
bez poprawek ze stycznia 2026
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo chodzi o dostęp do krytycznych danych bez logowania; prawdopodobieństwo jest najwyższe, bo atak jest łatwy, publiczny PoC istnieje od stycznia, a CISA potwierdza wykorzystanie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie instalacje Oracle HTTP Server i wtyczek WebLogic Proxy Plug-in (Apache i IIS) z wersjami | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Zainstalować poprawki z Critical Patch Update ze stycznia 2026 roku lub nowszego | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Do czasu instalacji ograniczyć dostęp do tych serwerów tylko z zaufanych sieci | Dziś | Administrator sieci |
4 | 🔴 NATYCHMIAST | Sprawdzić logi serwerów od stycznia 2026 pod kątem podejrzanych żądań i śladów włamania | Do jutra | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zweryfikować integralność danych w systemach za tymi serwerami | Do 7 dni | Właściciele systemów |
6 | 🟠 PILNIE | Sprawdzić, czy serwery WebLogic mają poprawki także na starsze, wciąż atakowane luki | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Wprowadzić stały harmonogram instalacji kwartalnych poprawek Oracle | Do 30 dni | Kierownik IT |
Oracle wydał poprawkę w styczniu 2026 roku i nie podaje obejścia w biuletynie. Poniższe środki to zalecenia firm bezpieczeństwa, które ograniczają ryzyko, ale nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do Oracle HTTP Server i wtyczki proxy tylko z zaufanych sieci | Wysoka dla systemów wewnętrznych | Łatwa do średniej |
Zwiększenie szczegółowości logów i codzienny przegląd podejrzanych żądań | Średnia: pozwala wykryć atak, nie zapobiega mu | Łatwa |
Tymczasowe wyłączenie publicznego dostępu do mniej ważnych portali | Wysoka dla tych systemów | Średnia, zależnie od znaczenia biznesowego |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Kontrola dostępu na serwerze pośredniczącym | Możliwa do obejścia bez hasła | Poprawiona przez CPU ze stycznia 2026 |
Widoczność serwerów z internetu | Dostępne dla każdego | Dostępne tylko tam, gdzie to konieczne |
Wiedza o wcześniejszych atakach | Brak | Logi przejrzane, wynik udokumentowany |
Rytm aktualizacji Oracle | Nieregularny | Kwartalny, zgodny z harmonogramem CPU |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); także singapurska agencja CSA ostrzega o aktywnym wykorzystaniu |
Grupy przestępcze | Według The Hacker News luka jest wśród wykorzystywanych przez powiązanego z Chinami aktora w kampanii SNOWLIGHT; nazwa grupy nie została podana w dostępnych źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, Oracle) |
PoC dostępny publicznie? | TAK według CSA Singapur i Field Effect (od 21 stycznia 2026); nie jest jasne, czy działa niezawodnie |
Liczba atakowanych firm | Brak publicznych informacji; kampania SNOWLIGHT według The Hacker News objęła cele w ponad 100 krajach |
Obserwowane próby ataków | GreyNoise, CloudSEK, SOCRadar, SANS Internet Storm Center (od stycznia 2026) |
Sygnały zagrożenia dla CVE-2026-21962
CVSS 3.1 (Oracle) 10.0 ████████████████████ maksymalna
Logowanie wymagane? NIE ████████████████████ każdy przez HTTP
Publiczny PoC TAK ████████████████████ od stycznia 2026
Ataki potwierdzone TAK ████████████████████ CISA KEV
Ransomware ? ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-01-05 Rezerwacja numeru CVE-2026-21962 przez Oracle
2026-01-20 Oracle publikuje poprawkę (Critical Patch Update, styczeń 2026)
2026-01-21 Informacja o publicznym PoC wg Field Effect
2026-01-28 SANS ISC odnotowuje żądania pasujące do prób ataku
2026-02 Pojedynczy adres IP atakuje tę i inne luki wg The Hacker News
2026-03 CloudSEK rejestruje ataki na swoje pułapki
2026-08-24 CISA dodaje lukę do katalogu KEV
2026-08-26 Ostrzeżenie CSA Singapur
2026-08-27 Termin naprawy wg CISA
2026-09-02 CSA dodaje wskaźniki włamania
2026-09-17: TUTAJ JESTEŚMY Biuletyn Oracle z poprawką: Oracle Critical Patch Update Advisory, January 2026 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-21962 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma lub jej dostawcy używają Oracle HTTP Server lub WebLogic | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową instalację poprawek, także z krótkim przestojem | CTO | DZISIAJ |
3 | Zlecić przegląd logów i sprawdzenie śladów włamania od stycznia 2026 | CTO | DO JUTRA |
4 | Potwierdzić z dostawcą aplikacji, że poprawki są wspierane i przetestowane | CTO | DO JUTRA |
5 | Zabezpieczyć budżet na analizę powłamaniową, gdyby wykryto ślady | CFO | DO JUTRA |
6 | Sprawdzić w umowach wsparcia Oracle dostęp do My Oracle Support i poprawek | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Oracle HTTP Server lub WebLogic Server Proxy Plug-in? | TAK / NIE | 🔴 |
2 | W jakich wersjach działają te komponenty? | [wersja] | 🔴 |
3 | Kiedy zainstalowano ostatni pakiet poprawek Oracle CPU? | [data] | 🔴 |
4 | Czy te serwery są dostępne z internetu? | TAK / NIE | 🔴 |
5 | Czy przejrzeliśmy logi od stycznia 2026 pod kątem ataków? | TAK / NIE | 🟠 |
6 | Czy mamy aktywny dostęp do My Oracle Support? | TAK / NIE | 🟠 |
7 | Czy dostawca aplikacji potwierdził zgodność z poprawkami? | TAK / NIE, [data] | 🟡 |
CVE-2026-21962 to luka z maksymalną oceną 10.0, która pozwala bez logowania obejść kontrolę dostępu w Oracle HTTP Server i wtyczce WebLogic Proxy Plug-in. Poprawka jest dostępna od stycznia 2026 roku, a ataki i publiczny PoC są potwierdzone, więc instalacja poprawek to zadanie na dziś. Ze względu na miesiące aktywnych prób ataków warto równolegle sprawdzić, czy serwery nie zostały już przejęte.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.