Una falla que lleva meses activa sale por fin a la luz: CISA marca como crítica la brecha en Oracle WebLogic
Por Fredy Avila
Hay vulnerabilidades que aparecen, generan titulares durante un par de días y luego se disuelven en el ruido habitual de la ciberseguridad. Y hay otras que llevan meses circulando en silencio, explotadas por quien sabe encontrarlas, hasta que una agencia gubernamental decide ponerles nombre público y una fecha límite. Esta semana le tocó el turno a Oracle.
El lunes, la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) sumó a su catálogo de Vulnerabilidades Explotadas Conocidas —el conocido KEV— una falla que afecta a Oracle HTTP Server y al plugin proxy de Oracle WebLogic Server. El identificador es CVE-2026-21962, y su puntuación en la escala CVSS no deja mucho espacio para la interpretación: 10.0, el máximo posible.
¿Qué hace exactamente esta falla?
Lo preocupante no es solo la puntuación, sino lo poco que se necesita para explotarla. Un atacante no necesita credenciales, ni una cuenta válida, ni acceso previo a la red interna. Le basta con alcanzar el servidor por HTTP. CISA la clasifica como una vulnerabilidad de control de acceso inadecuado, y advierte que permite crear, borrar o modificar datos críticos sin autorización, además de acceder a toda la información que el componente afectado tenga permitido alcanzar.
Para entender por qué esto importa, conviene recordar qué hacen las piezas involucradas. Oracle HTTP Server suele funcionar como la puerta de entrada web de una infraestructura empresarial, mientras que el plugin proxy de WebLogic se encarga de dirigir el tráfico desde esa puerta hacia los servidores de aplicaciones. Es decir, estamos hablando del punto exacto donde el mundo exterior toca los sistemas internos de una organización.
No es una novedad, aunque recién ahora se hable de ella
Aquí viene la parte que más llama la atención: Oracle ya había corregido este fallo en enero, dentro de su actualización trimestral de parches. Pero corregirlo no significa que todo el mundo lo haya instalado, y los atacantes lo sabían. Según recogió SecurityWeek, la firma CloudSEK detectó los primeros intentos de explotación desde el 22 de enero, apenas se hizo público un exploit de prueba de concepto, usando honeypots que simulaban servidores WebLogic vulnerables.
La cosa no quedó ahí. FalconFeeds mencionó la explotación de esta falla en junio, al describir cómo se mueve el mercado clandestino de acceso a sistemas comprometidos. Y en julio, SOCRadar reportó que un actor de amenazas vinculado a China la había usado, junto a otras vulnerabilidades, en ataques contra infraestructura gubernamental. Dicho de otro modo: para cuando CISA la incorporó oficialmente al KEV esta semana, la falla ya llevaba siete meses siendo explotada por al menos varios grupos distintos.
The Hacker News recogió además una cita textual de CloudSEK que resume bien el patrón de fondo: los honeypots capturaron ataques que no solo apuntaban a esta falla, sino también a otras vulnerabilidades RCE de WebLogic ya conocidas desde hace años, como CVE-2020-14882 o CVE-2017-10271. La conclusión de los investigadores es que los atacantes siguen prefiriendo un puñado de fallas simples y efectivas antes que buscar algo nuevo, porque simplemente funcionan.
¿Y ahora qué?
CISA le dio a las agencias federales estadounidenses hasta el 27 de agosto para aplicar la corrección, conforme a la directiva operativa vinculante BOD 26-04. Ese plazo aplica formalmente solo al sector público de Estados Unidos, pero cualquier organización que use Oracle HTTP Server o WebLogic haría bien en tomarlo como una señal de alarma, no como un trámite burocrático ajeno.
Vale la pena aclarar algo que señaló un análisis publicado en WindowsForum: tener un servidor Windows con WebLogic instalado no significa automáticamente estar expuesto. Lo que hay que verificar puntualmente es si se está usando el plugin proxy para IIS en su versión 12.2.1.4.0, o su equivalente para Apache en entornos Linux, junto con cualquier topología que dependa de ese componente para enrutar tráfico desde internet. En infraestructuras mixtas —y son más comunes de lo que parece— conviene revisar ambos lados por separado, porque las herramientas de inventario suelen clasificarlos como cosas distintas.
Si algo deja esta historia es un recordatorio de que la fecha de un parche y la fecha de un ataque casi nunca coinciden. Entre enero, cuando Oracle publicó la corrección, y agosto, cuando CISA confirmó la explotación activa, pasó tiempo suficiente para que varios actores distintos encontraran, probaran y aprovecharan la misma puerta abierta. La pregunta que cada equipo de seguridad debería hacerse no es si aplicó el parche de enero, sino si alguien se tomó el trabajo de confirmarlo.
Fuentes: The Hacker News, CISA — Known Exploited Vulnerabilities Catalog, SecurityWeek, Security Affairs, Cyber Security News.