Oracle phát hành cảnh báo về lỗ hổng mức độ cao CVE-2026-60570 trên Oracle GoldenGate, cho phép kẻ tấn công chiếm toàn bộ quyền kiểm soát hệ thống.
Tổng quan về lỗ hổng CVE-2026-60570
Vừa qua, vào ngày 21/07/2026, Oracle đã công bố bản cập nhật an ninh, trong đó đáng chú ý là lỗ hổng nghiêm trọng mang mã hiệu CVE-2026-60570 ảnh hưởng đến giải pháp tích hợp và sao chép dữ liệu Oracle GoldenGate.
Lỗ hổng này nằm trong thành phần thư viện (Libraries) của phần mềm, được xếp loại ở mức độ Cao (HIGH) với điểm số CVSS v3.1 là 7.8 (Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H).
Mức độ ảnh hưởng và nguy cơ an ninh
Lỗ hổng CVE-2026-60570 cho phép một kẻ tấn công nội bộ chỉ cần có quyền truy cập thấp (low privileges) và quyền đăng nhập vào hạ tầng nơi Oracle GoldenGate đang vận hành có thể khai thác hệ thống một cách dễ dàng mà không cần sự tương tác từ người dùng.
Khi khai thác thành công, kẻ tấn công có thể:
- Chiếm toàn bộ quyền kiểm soát (takeover) ứng dụng Oracle GoldenGate.
- Đe dọa nghiêm trọng đến Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability) của dữ liệu được quản lý bởi hệ thống.
Đối tượng bị ảnh hưởng
Lỗ hổng này tác động trực tiếp đến giải pháp Oracle GoldenGate ở các phiên bản được hỗ trợ sau:
- Phiên bản từ 23.4 đến 23.26.1
Các doanh nghiệp và tổ chức đang sử dụng hệ thống Oracle GoldenGate trong khoảng phiên bản nêu trên cần chủ động kiểm tra hạ tầng để có phương án xử lý kịp thời.
Khuyến nghị khắc phục
Để bảo đảm an toàn cho hệ thống dữ liệu, Bitech khuyến nghị các quản trị viên và bộ phận an ninh thông tin thực hiện ngay các bước sau:
- Cập nhật bản vá: Tiến hành nâng cấp Oracle GoldenGate lên phiên bản mới nhất đã được Oracle khắc phục lỗi theo thông báo tư vấn bảo mật tháng 7/2026.
- Kiểm soát quyền truy cập: Rà soát lại tất cả tài khoản có quyền đăng nhập vào máy chủ/hạ tầng chạy Oracle GoldenGate; áp dụng nguyên tắc tối thiểu hóa đặc quyền (Least Privilege).
- Tăng cường giám sát: Theo dõi chặt chẽ nhật ký hệ thống (system logs) để phát hiện sớm các truy cập bất thường hoặc hành vi leo leo thang đặc quyền trái phép.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia Mỹ (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-60570
- Thông báo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60570
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html