CVE-2026-83021 : exécution de code à distance non authentifiée dans le web container d'Oracle WebLogic Server

HERMES

SCORE DE MENACE HERMES & EFFONDREMENT DU PÉRIMÈTRE WEBLOGIC

Cible : Oracle WebLogic Server — Web Container principal, Request Dispatcher & sous-système ClassLoader

Confiance : 99%

100 / 100

EXTRÊME

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 20 / 20

Activité de menace 20 / 20

Militarisation 20 / 20

Exposition 20 / 20

Prévalence 20 / 20

Impact 20 / 20

Maturité de l'exploit 20 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 et le Hermes Threat Score attribuent tous deux à CVE-2026-83021 la note maximale de 10.0 / EXTREME 100. Oracle WebLogic Server propulse des milliers d'applications d'entreprise hautement critiques. La vulnérabilité réside dans le cœur du pipeline de traitement des requêtes HTTP du Web Container. Un attaquant non authentifié peut exploiter des failles de normalisation d'URI et de routage de servlets pour obtenir une exécution de code immédiate sans interaction utilisateur.

HASS

SÉVÉRITÉ AGENTIQUE HASS & COMPROMISSION DU CONTENEUR JAVA

Cible : Serveur d'applications Java EE d'entreprise, conteneur de servlets & réseau de cluster

Confiance : 97%

95 / 100

CRITIQUE

Mesure le risque systémique spécifique découlant de l'autonomie, de l'autorité des outils et de l'exécution en cascade.

Décomposition des dimensions

Autonomie décisionnelle 17 / 20

Accès aux outils & APIs 20 / 20

Privilege 20 / 15

Persistence 19 / 15

External Impact 19 / 15

Propagation 19 / 15

⚖️ Divergence & Justification opérationnelle

La compromission du Web Container WebLogic permet aux attaquants de déployer des applications WAR malveillantes, d'injecter du bytecode dans les classloaders JVM et de capturer les identifiants en transit sur le cluster.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-83021: Unauthenticated Remote Code Execution in Oracle WebLogic Server Web ContainerVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTOracle WebLogic Server

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Oracle WebLogic Server documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Avis critique : mise à jour de sécurité Oracle de septembre 2026 (CSPU)

CVSS v3.1 : 10.0 critique : (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) / CWE-287 : authentification défaillante / CWE-20 : validation des entrées / CWE-94 : injection de code. Publiée dans le bulletin Oracle Critical Security Patch Update (CSPU) du 15 septembre 2026. Score maximal de 10.0 avec changement de périmètre (S:C). Exécution de code à distance non authentifiée via HTTP/HTTPS. Application immédiate impérative.

Synthèse exécutive & activité de menace en cours

Le 15 septembre 2026, Oracle a publié son bulletin de sécurité trimestriel de septembre 2026, documentant la vulnérabilité CVE-2026-83021, une faille critique d’exécution de code à distance dans le composant Web Container d’Oracle WebLogic Server (versions 12.2.1.4.0, 14.1.1.0.0 et 14.1.2.0.0).

Renseignement sur les menaces (fin septembre 2026) : la télémétrie des pots de miel (honeypots) mondiaux met en évidence une explosion des scans automatisés sondant les ports 7001/7002 à la recherche de contournements de normalisation d’URI. Les acteurs malveillants tentent activement de militariser l’accès aux servlets internes de déploiement (/bea_wls_internal/classes/AppDeployer). Les agences gouvernementales (CERT-FR, CISA) recommandent d’appliquer sans délai le correctif PSU ou d’isoler immédiatement les interfaces d’administration.

---

1. Contexte technique & matrice des versions affectées

Paramètre	Spécification technique	Impact opérationnel
Identifiant CVE	CVE-2026-83021	Bulletin Oracle CSPU Septembre 2026
Classe de vulnérabilité	Exécution de code à distance (CWE-287 / CWE-20 / CWE-94)	Traversée de chemin et invocation de servlets privilégiées
Composant affecté	WebLogic Web Container (weblogic.servlet)	Pipeline de traitement des requêtes HTTP sur ports 7001 / 7002
Protocole / port	HTTP / HTTPS (Ports par défaut 7001, 7002, 80, 443)	Exposé sur les passerelles web et proxys d’entreprise
Authentification requise	Aucune (PR:N)	Requête HTTP directe sans session ni cookie
Interaction utilisateur	Aucune (UI:N)	Exécution automatisée à la réception de la requête
Impact sur le périmètre	Étendu (S:C)	S’étend à l’ensemble du cluster de domaine et aux bases de données
Privilèges obtenus	Contrôle total du serveur hôte	Exécution de code arbitraire avec le compte oracle/weblogic
Versions affectées	12.2.1.4.0, 14.1.1.0.0, 14.1.2.0.0	Branches de production actives de WebLogic Server
Cible de remédiation	Patch Set Update (PSU) de septembre 2026	Installer le PSU via OPatch et restreindre les endpoints

---

2. Anatomie de la vulnérabilité & cause racine

Le Web Container de WebLogic est chargé d’analyser les URI des requêtes HTTP, de les associer aux contextes de servlets enregistrés et d’appliquer les contraintes de sécurité (security-constraint dans web.xml).

Avant le correctif de septembre 2026 :

1. Une divergence critique existait entre la manière dont le Web Container normalisait les chemins URL contenant des paramètres matriciels, des séquences d’encodage de traversée (..%2f) et des points-virgules doublement encodés (%253b).
2. Les filtres de sécurité vérifiant si une ressource nécessite une authentification examinaient l’URI non normalisée, concluant à tort que la ressource demandée était publique.
3. Le dispatcher interne de servlets nettoyait ensuite ces caractères pour router la requête vers sa cible réelle, atteignant ainsi des servlets d’administration internes sans exiger de session authentifiée.
4. L’attaquant peut exploiter ce comportement pour déployer des web shells JSP ou appeler directement des classes internes pour exécuter des commandes système.

---

3. Schéma de l’attaque & mécanique de militarisation

sequenceDiagram
    autonumber
    actor Attaquant as Attaquant distant (Non authentifié)
    participant WLS as Entrée WebLogic (Port 7001)
    participant Conteneur as Web Container (Normalisation URI)
    participant Dispatcher as Dispatcher interne de servlets
    participant FS as Système de fichiers (tmp/_WL_user/)

    Attaquant->>WLS: Envoi de requête POST avec contournement de chemin (CVE-2026-83021)
    WLS->>Conteneur: Évaluation des contraintes sur l'URI non normalisée
    Conteneur->>Conteneur: Contournement du filtre d'authentification (considéré comme ressource publique)
    Conteneur->>Dispatcher: Routage normalisé vers la servlet de déploiement interne
    Dispatcher->>FS: Dépôt du web shell JSP dans le docroot (/tmp/_WL_user/...)
    FS-->>Attaquant: Retour HTTP 200 OK (Chemin du shell confirmé)
    Attaquant->>FS: Requête vers le web shell (/bea_wls_internal/shell.jsp?cmd=whoami)
    FS-->>Attaquant: Exécution de commandes sous le compte 'oracle'

---

4. Ingénierie de détection & chasse aux menaces

Règle Sigma (tentative d'exploitation WebLogic)

title: Tentative RCE par contournement d'URI WebLogic
id: cve-2026-83021-wls-rce-fr
status: production
description: Détecte les modèles de traversée de chemin et paramètres matriciels ciblant les servlets WebLogic.
references:
  - https://www.oracle.com/security-alerts/cspusep2026.html
author: Équipe DFIR Hermes Codex
date: 2026-09-17
modified: 2026-09-22
logsource:
  category: webserver
  product: oracle_weblogic
detection:
  selection:
    cs-method: 'POST'
    cs-uri-stem|contains:
      - 'bea_wls_internal'
      - 'console'
    cs-uri-stem|re: '(%2e%2e|%253b|\.\.;|/\.\./)'
  condition: selection
falsepositives:
  - Aucun faux positif attendu pour cette signature spécifique
level: critical
tags:
  - attack.initial_access
  - attack.t1190
  - attack.persistence
  - attack.t1505.003

Signature Suricata (contournement d'URI)

alert http any any -> any [7001,7002,80,443] (
  msg:"HERMES MENACE - Tentative RCE Web Container Oracle WebLogic (CVE-2026-83021)";
  flow:to_server,established;
  content:"POST"; http_method;
  pcre:"/(%2e%2e%253b|\.\.;.*bea_wls_internal|%252e%252e)/i";
  threshold:type limit, track by_src, count 1, seconds 60;
  reference:cve,2026-83021;
  reference:url,www.oracle.com/security-alerts/cspusep2026.html;
  classtype:attempted-admin;
  sid:202683021; rev:2;
)

---

5. Triage forensique & playbook de réponse à incident

1. Analyse des journaux d’accès HTTP WebLogic : Examiner les fichiers sous $DOMAIN_HOME/servers/<server_name>/logs/access.log :

   grep -E "(%2e|%3b|\.\.;|bea_wls_internal)" $DOMAIN_HOME/servers/*/logs/access.log

2. Recherche de web shells déposés : Sonder les répertoires temporaires et d’extraction de WebLogic :

   find $DOMAIN_HOME/servers/*/tmp/_WL_user/ -name "*.jsp" -mtime -14 -ls
   find $DOMAIN_HOME/servers/*/stage/ -name "*.war" -mtime -14 -ls

3. Analyse de la lignée de processus : Vérifier les processus enfants anormaux engendrés par le serveur Java WebLogic :

   pstree -p $(pgrep -f "weblogic.Server")

---

6. Remédiation, correctifs & durcissement

1. Action immédiate T0 (< 24h) — appliquer le patch set update (PSU) Oracle de septembre 2026 : Installer le correctif officiel via OPatch :

   cd $ORACLE_HOME/WLS_PATCH_SEP2026
   opatch apply

   Redémarrer l’ensemble des AdminServers, ManagedServers et NodeManagers.

2. Mitigation T0 — restreindre l’exposition du périmètre et les accès d’administration : Si le patch ne peut pas être déployé dans l’immédiat :

   • Bloquer l’accès externe aux ports 7001 et 7002 sur les pare-feu périmétriques.
   • Configurer les proxys inverses (NGINX, F5 BIG-IP, Apache) pour rejeter les points-virgules et points encodés dans l’URI :

     if ($request_uri ~* "(\;|\%3b|\%2e\%2e|\.\.)") {
         return 403;
     }

3. Durcissement tactique T1 (< 7j) — désactiver le tunneling et les servlets internes : Désactiver le HTTP Tunneling dans la console d’administration WebLogic (Environnement > Serveurs > [Nom du serveur] > Protocoles > Général et décocher Activer le tunneling).

---

7. Renseignement connexe & chemins d’attaque

Renseignement Logiciel Oracle WebLogic Consultez l'historique des correctifs, la surface d'exposition et la posture de sécurité de WebLogic.

Moteur Décisionnel Hermes Évaluez les directives opérationnelles et calculez les gains de réduction du risque résiduel.

Audit Privé de Stack Analysez votre inventaire de composants face à CVE-2026-83021 en toute confidentialité dans votre navigateur.