Uma vulnerabilidade de severidade máxima foi divulgada no Oracle Access Manager, afetando as versões 12.2.1.4.0 e 14.1.2.1.0. De acordo com a entrada do NVD para CVE-2026-87337, um atacante não autenticado com acesso de rede via HTTP pode comprometer completamente o Authentication Engine, obtendo a capacidade de ler, criar, excluir ou modificar todos os dados que o OAM gerencia. A classificação de mudança de escopo indica que sistemas downstream protegidos pelo OAM também estão em risco.

Vamos ser diretos sobre o que isso significa operacionalmente. O OAM é um produto de gateway. Ele fica na frente das suas aplicações e toma decisões de autenticação em nome de tudo que está por trás dele. Um CVSS 10.0 aqui não é uma pontuação abstrata: é um atacante entrando pela porta da frente, capturando seus tokens de sessão e então percorrendo silenciosamente cada aplicação que sua força de trabalho ou seus clientes utilizam para se autenticar. Sem credenciais. Sem interação do usuário. Apenas acesso à rede e a requisição HTTP correta.

O controle que falhou conceitualmente é o tratamento de entrada pré-autenticação no próprio Authentication Engine. Ainda não temos o detalhamento técnico completo, mas uma falha explorável via rede, sem exigência de privilégios, em um componente de autenticação quase sempre se resume a uma lista curta de causas: exposição de endpoint não autenticado, desserialização inadequada ou tratamento de requisições malformadas que contorna uma verificação de autenticação assumida. Qualquer uma dessas situações deveria ter sido identificada em revisão de código ou em testes de fuzzing antes do lançamento. O indicador de mudança de escopo sugere que o armazenamento de sessão ou de políticas do OAM é acessível após a exploração de uma forma que cruza limites de confiança para as aplicações conectadas.

Se você opera qualquer uma das versões afetadas, a situação exige aplicar o patch primeiro e fazer perguntas depois. Enquanto aguarda uma janela de manutenção, é possível reduzir a exposição restringindo o acesso HTTP às portas de administração e de runtime do OAM a endereços IP de origem internos conhecidos. Regras de WAF não são suficientes para bloquear algo tão baixo na pilha de autenticação, portanto não as utilize como controle primário aqui. Audite também quais sistemas dependem do OAM para SSO ou aplicação de políticas, pois o cálculo do raio de impacto depende dessa lista.

Aplique o patch da Oracle ainda esta semana. Se não for possível fazer o patch imediatamente, controles de acesso na camada de rede para o listener do OAM são a melhor medida de curto prazo, não mitigações na camada de aplicação. Após a aplicação do patch, analise os logs de acesso do OAM dos últimos 30 dias e procure tráfego de autenticação anômalo, especialmente requisições que tiveram sucesso sem corresponder a um padrão de usuário conhecido. Se algo já passou despercebido, é melhor saber antes que se torne um problema maior.