Multiples vulnérabilités affectant Oracle WebLogic Server
Plusieurs vulnérabilités ont été découvertes dans Oracle WebLogic Server et ses extensions de proxy associées. Elles permettraient à un attaquant d'exécuter du code arbitraire à distance, de prendre le contrôle du serveur, de contourner des mécanismes de sécurité et de compromettre la confidentialité et l'intégrité des données.
Description
Contexte technique et détails de la vulnérabilité
Oracle WebLogic Server est un serveur d'applications Java EE intégré à la suite Oracle Fusion Middleware, largement déployé dans les infrastructures d'entreprise. Dans le cadre de son Critical Patch Update (CPU) de juillet 2026, Oracle a corrigé plusieurs vulnérabilités dans le composant Core de WebLogic Server, dont plusieurs classées critiques et exploitables à distance sans authentification. Par ailleurs, les extensions de proxy d'Oracle HTTP Server et d'Oracle WebLogic Server sont affectées par une vulnérabilité critique distincte. L'ensemble de ces vulnérabilités est libellé comme suit : CVE-2026-21962 (CVSS 10.0) : vulnérabilité des extensions de proxy d'Oracle HTTP Server et d'Oracle WebLogic Server pour Apache HTTP Server et Microsoft IIS, exploitable à distance et sans authentification, permettant de contourner les mécanismes de sécurité et d'accéder aux systèmes WebLogic en arrière-plan. CVE-2026-60206 (CVSS 9.9) : vulnérabilité du composant Core, exploitable via le protocole SAML par un acteur malveillant authentifié disposant de faibles privilèges, permettant une prise de contrôle du serveur avec un changement de périmètre susceptible d'affecter d'autres produits. CVE-2026-60198, CVE-2026-60202 et CVE-2026-60204 (CVSS 9.8) : vulnérabilités de désérialisation Java dans le composant Core, exploitables à distance et sans authentification via les protocoles T3/IIOP, permettant une prise de contrôle complète du serveur. CVE-2026-60199 (CVSS 9.8) : vulnérabilité du composant Core, exploitable à distance et sans authentification via le protocole HTTP, permettant une prise de contrôle du serveur. CVE-2026-60200 (CVSS 9.8) : vulnérabilité du composant Core, exploitable à distance et sans authentification via le protocole SOAP, permettant une compromission du serveur. CVE-2026-60208 (CVSS 9.1) : vulnérabilité du composant Core, exploitable à distance et sans authentification via le protocole HTTP, affectant la confidentialité et l'intégrité des données. CVE-2026-60201 (CVSS 8.1) : vulnérabilité de désérialisation Java dans le composant Core, exploitable à distance et sans authentification via les protocoles T3/IIOP, avec une complexité d'exploitation élevée.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Prise de contrôle complète du système ;
- Contournement des mécanismes de sécurité ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données ;
- Atteinte à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- Oracle WebLogic Server versions 12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0 et 15.1.1.0.0 (composant Core) ;
- Extensions de proxy Oracle HTTP Server et Oracle WebLogic Server pour Apache HTTP Server et Microsoft IIS (CVE-2026-21962).
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Appliquer immédiatement les correctifs du Critical Patch Update (CPU) d'Oracle de juillet 2026 sur toutes les instances Oracle WebLogic Server concernées ;
- Mettre à jour les extensions de proxy Oracle HTTP Server et WebLogic Server vers les versions corrigées ;
- Restreindre l'accès aux protocoles réseau de WebLogic Server (T3, IIOP, HTTP, SOAP) aux seuls réseaux de confiance ;
- Appliquer le principe du moindre privilège aux comptes ayant accès au serveur.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.