Oracle công bố lỗ hổng bảo mật nghiêm trọng CVE-2026-60834 (CVSS 7.1) trên Oracle Solaris 11.4, cho phép kẻ tấn công chiếm quyền truy cập dữ liệu qua giao thức RAD.
Tổng quan về lỗ hổng CVE-2026-60834
Vào ngày 21/07/2026, Oracle đã chính thức phát hành thông tin cảnh báo bảo mật về lỗ hổng mang mã hiệu CVE-2026-60834 nằm trong thành phần Utility của hệ điều hành Oracle Solaris. Lỗ hổng này được xếp loại ở mức độ nghiêm trọng Cao (HIGH) với điểm số CVSS v3.1 là 7.1 (Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N).
Đối tượng bị ảnh hưởng
Lỗ hổng trực tiếp tác động đến các hệ thống đang chạy:
- Hệ điều hành: Oracle Solaris
- Phiên bản bị ảnh hưởng: 11.4
- Thành phần: Utility (kết nối và quản lý thông qua Remote Administration Daemon - RAD)
Các doanh nghiệp và tổ chức vận hành hạ tầng máy chủ trên nền tảng Oracle Solaris 11.4 cần rà soát ngay lập tức.
Phân tích kỹ thuật và mức độ nguy hiểm
Lỗ hổng phát sinh từ thành phần Utility khi tương tác qua giao thức RAD (Remote Administration Daemon). Mặc dù mức độ phức tạp của cuộc tấn công được đánh giá là cao (Attack Complexity: High) — nghĩa là kẻ tấn công gặp nhiều khó khăn kỹ thuật để khai thác thành công — nhưng điều kiện đầu vào lại tương đối dễ dàng khi chỉ yêu cầu quyền hạn người dùng thấp (Low Privilege) và có kết nối mạng (Network Access).
Đáng chú ý, lỗ hổng này có chỉ số thay đổi phạm vi (Scope Change), nghĩa là việc khai thác thành công trên Oracle Solaris có thể tác động dây chuyền sang các sản phẩm hoặc thành phần khác trong cùng hạ tầng. Các nguy cơ bao gồm:
- Tác động đến tính bảo mật (Confidentiality - Mức độ Cao): Kẻ tấn công có thể truy cập trái phép vào các dữ liệu quan trọng hoặc lấy toàn bộ dữ liệu mà hệ điều hành Oracle Solaris có quyền truy cập.
- Tác động đến tính toàn vẹn (Integrity - Mức độ Thấp): Cho phép kẻ tấn công thực hiện các thao tác chèn, cập nhật hoặc xóa trái phép đối với một số dữ liệu hệ thống.
- Tính khả dụng (Availability): Lỗ hổng không làm gián đoạn hay gây từ chối dịch vụ (DoS).
Khuyến nghị khắc phục
Để đảm bảo an toàn cho hệ thống và tránh nguy cơ thất thoát dữ liệu, Bitech khuyến nghị các quản trị viên hệ thống thực hiện ngay các bước sau:
- Cập nhật bản vá: Tiến hành nâng cấp và áp dụng bản vá mới nhất trong gói Critical Patch Update (CPU) tháng 7/2026 từ Oracle.
- Kiểm soát truy cập mạng: Cấu hình tường lửa để chặn hoặc hạn chế quyền truy cập vào cổng dịch vụ RAD, chỉ cho phép các địa chỉ IP quản trị tin cậy kết nối.
- Quản lý phân quyền: Rà soát lại toàn bộ tài khoản người dùng có quyền truy cập hệ thống, áp dụng nguyên tắc tối thiểu đặc quyền (Principle of Least Privilege).
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-60834
- Thông báo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60834
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html