Lỗ hổng CVE-2026-60675 đạt điểm CVSS 8.8 (High) cho phép kẻ tấn công quyền hạn thấp chiếm quyền kiểm soát Oracle Applications Framework. Khuyến nghị cập nhật bản vá ngay.
Bộ phận biên tập nội dung công nghệ của Bitech (bitech.vn) xin gửi cảnh báo bảo mật quan trọng liên quan đến nền tảng Oracle E-Business Suite. Doanh nghiệp cần khẩn trương kiểm tra và tiến hành khắc phục để tránh nguy cơ bị xâm nhập hệ thống.
Vào ngày 21/07/2026, thông tin về lỗ hổng bảo mật với mã định danh CVE-2026-60675 đã chính thức được công bố. Lỗ hổng này nằm trong thành phần Search Bean thuộc Oracle Applications Framework của hệ trị doanh nghiệp Oracle E-Business Suite, được đánh giá ở mức độ nghiêm trọng HIGH với thang điểm CVSS v3.1 là 8.8.
Chi tiết kỹ thuật và tác động của lỗ hổng
Theo mô tả kỹ thuật, lỗ hổng CVE-2026-60675 có thể bị khai thác một cách dễ dàng thông qua kết nối mạng qua giao thức HTTP.
- Mã lỗ hổng: CVE-2026-60675
- Chỉ số CVSS v3.1: 8.8 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
- Yêu cầu quyền hạn: Kẻ tấn công chỉ cần quyền hạn thấp (Low Privileged) trên hệ thống.
- Tương tác người dùng: Không yêu cầu sự tương tác của người dùng cuối (User Interaction: None).
- Tác động: Khai thác thành công lỗ hổng này có thể dẫn đến việc kiểm soát hoàn toàn (takeover) thành phần Oracle Applications Framework. Điều này ảnh hưởng trực tiếp và nghiêm trọng đến cả ba yếu tố an toàn thông tin: Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability) của dữ liệu.
Đối tượng bị ảnh hưởng
Lỗ hổng này ảnh hưởng trực tiếp đến các hệ thống đang sử dụng Oracle E-Business Suite (thành phần Oracle Applications Framework) thuộc các phiên bản sau:
- Tất cả các phiên bản từ 12.2.3 đến 12.2.15.
Các doanh nghiệp và tổ chức triển khai các phiên bản trong khoảng này có kết nối mạng HTTP/HTTPS đều nằm trong phạm vi nguy cơ bị tấn công.
Khuyến nghị khắc phục từ Bitech
Để đảm bảo an toàn cho hệ thống CNTT và dữ liệu của doanh nghiệp, Bitech khuyến nghị các quản trị viên hệ thống thực hiện ngay các bước sau:
- Kiểm tra và rà soát: Xác định ngay phiên bản Oracle E-Business Suite hiện tại đang vận hành trong tổ chức.
- Cập nhật bản vá khẩn cấp: Truy cập cổng thông tin hỗ trợ của Oracle và áp dụng bản vá bảo mật mới nhất nằm trong đợt cập nhật Critical Patch Update (CPU) tháng 7/2026.
- Giới hạn quyền truy cập: Rà soát và thu hồi bớt các quyền không cần thiết của người dùng cấp thấp; hạn chế quyền truy cập mạng vào các giao diện quản trị nếu không thực sự cần thiết.
- Theo dõi nhật ký (Log): Tăng cường giám sát lưu lượng mạng HTTP/HTTPS và kiểm tra nhật ký truy cập để phát hiện sớm các dấu hiệu bất thường.
Nguồn tham khảo
Quản trị viên có thể tham khảo thêm thông tin chi tiết từ các nguồn chính thức:
- Cơ sở dữ liệu lỗ hổng quốc gia Mỹ (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-60675
- Thông báo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60675
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html