A Oracle alerta para a CVE-2026-21992, uma vulnerabilidade crítica no Oracle Identity Manager e no Oracle Web Services Manager. O problema pode ser explorado remotamente sem autenticação e, em caso de sucesso, permitir execução remota de código nos componentes afetados.
O alerta oficial atribui CVSS 3.1 de 9,8 à falha. O vetor indica acesso pela rede, baixa complexidade, ausência de autenticação e impacto alto em confidencialidade, integridade e disponibilidade. As versões afetadas precisam receber as atualizações ou mitigações indicadas pela Oracle.
O que é a CVE-2026-21992
A vulnerabilidade atinge dois produtos do Oracle Fusion Middleware. No Oracle Identity Manager, o componente indicado é o REST WebServices. No Oracle Web Services Manager, o componente é Web Services Security.
Segundo a Oracle e o registro CVE, um atacante remoto sem credenciais pode alcançar os serviços por HTTP. A exploração bem-sucedida pode levar à execução remota de código. O CVE.org descreve também a possibilidade de tomada de controle do Oracle Identity Manager e do Oracle Web Services Manager.
O alerta não fornece uma prova de exploração ativa nem uma campanha específica. Portanto, este artigo trata a CVE como vulnerabilidade crítica confirmada pelo fabricante, sem afirmar que ataques estejam ocorrendo neste momento.
Produtos e versões afetadas
| Produto | Componente | Versões afetadas |
|---|---|---|
| Oracle Identity Manager | REST WebServices | 12.2.1.4.0 e 14.1.2.1.0 |
| Oracle Web Services Manager | Web Services Security | 12.2.1.4.0 e 14.1.2.1.0 |
A Oracle indica o documento de disponibilidade de patch KB878741 para o Fusion Middleware. O acesso pode exigir uma conta My Oracle Support. O Web Services Manager é instalado com uma infraestrutura Oracle Fusion Middleware, por isso o inventário deve incluir instalações que não aparecem como um serviço independente.
Como interpretar o risco
O vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H significa que a referência de cálculo considera um ataque pela rede, de baixa complexidade, sem autenticação e sem interação do usuário. Os impactos potenciais abrangem dados, alterações de integridade e disponibilidade do serviço.
Esse vetor não prova que toda instalação esteja exposta diretamente à internet. Firewalls, proxies, redes internas e controles de acesso podem reduzir a exposição. Ainda assim, qualquer publicação HTTP acessível a uma rede não confiável deve ser tratada como prioritária até receber o patch.
Recomendações imediatas
Aplicar o patch da Oracle. Consulte o KB878741, confirme a versão instalada e aplique a atualização correspondente ao Identity Manager e ao Web Services Manager. Planeje o reinício dos serviços e teste os fluxos de identidade depois da mudança.
Mapear componentes embutidos. Procure o Oracle Web Services Manager dentro de instalações Fusion Middleware. Verifique servidores de aplicação, nós de cluster, ambientes de homologação, backups restaurados e imagens de infraestrutura que possam conter as versões afetadas.
Reduzir a exposição até a correção. Restrinja temporariamente as interfaces HTTP a redes administrativas ou a proxies confiáveis. Remova exposição direta desnecessária e aplique regras de gateway compatíveis com a operação. Essa redução não substitui a atualização.
Revisar autenticação e privilégios. Confirme que endpoints de administração não estão publicados em redes públicas. Avalie contas de serviço, privilégios do processo e permissões sobre diretórios e bancos usados pelo Fusion Middleware.
Verificar logs. Procure requisições anômalas nos endpoints REST e de Web Services Security, erros incomuns, processos filhos inesperados, alterações de configuração e conexões de saída iniciadas pelos servidores. Preserve os registros antes de reiniciar uma instância suspeita.
Orientações para equipes de segurança
Comece pelo inventário de ativos que recebem tráfego HTTP de redes externas, parceiros ou segmentos com menor nível de confiança. Relacione cada ativo com a versão do Fusion Middleware, o produto instalado e a exposição efetiva do endpoint.
Se houver indícios de exploração, isole o nó afetado conforme o plano de resposta, preserve logs e imagens de disco quando possível e avalie a rotação de credenciais usadas pelo serviço. A execução remota de código pode afetar não apenas o servidor, mas também tokens, contas de serviço e sistemas acessíveis por ele.
Depois do patch, compare a configuração com um baseline conhecido. Confirme que o binário atualizado está em todos os nós, que não há instâncias antigas atrás do balanceador e que os endpoints críticos continuam protegidos por autenticação, autorização e segmentação de rede.
Não atribua a vulnerabilidade a uma campanha ou grupo específico sem evidência. As fontes consultadas confirmam o risco técnico e a recomendação de atualização, mas não relatam exploração ativa.
Conclusão
A CVE-2026-21992 é uma vulnerabilidade crítica no Oracle Identity Manager e no Oracle Web Services Manager. Ela pode ser explorada remotamente sem autenticação e permitir execução remota de código, com CVSS 9,8.
As versões 12.2.1.4.0 e 14.1.2.1.0 dos dois produtos devem ser verificadas e atualizadas conforme o documento da Oracle. Enquanto a correção não for concluída, reduza a exposição HTTP, revise os endpoints e monitore os logs do Fusion Middleware.
Fontes primárias
Oracle Security Alert: CVE-2026-21992 — Oracle Identity Manager e Oracle Web Services Manager.
Oracle My Support: Documento de disponibilidade de patch KB878741.
CVE.org: CVE-2026-21992.