Oracle công bố lỗ hổng CVE-2026-60918 (CVSS 7.2) trên Oracle E-Business Suite, cho phép kẻ tấn công chiếm quyền kiểm soát hệ thống.
Tổng quan về lỗ hổng CVE-2026-60918
Ngày 21/07/2026, thông tin về lỗ hổng an ninh mạng nghiêm trọng có mã hiệu CVE-2026-60918 đã chính thức được công bố. Lỗ hổng này xuất hiện trong thành phần Internal Operations thuộc sản phẩm Oracle Shipping Execution (một phân hệ quan trọng của bộ phần mềm quản trị doanh nghiệp Oracle E-Business Suite).
Theo đánh giá theo thang điểm CVSS v3.1, lỗ hổng này đạt 7.2 điểm (Mức độ Nghiêm trọng / HIGH). Mã định danh vectơ CVSS đầy đủ là CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H.
Đối tượng bị ảnh hưởng
Lỗ hổng CVE-2026-60918 tác động trực tiếp đến các phiên bản Oracle E-Business Suite đang được hỗ trợ sau đây:
- Oracle E-Business Suite: Các phiên bản từ 12.2.12 đến 12.2.15.
- Thành phần bị ảnh hưởng: Oracle Shipping Execution (Internal Operations).
Phân tích kỹ thuật và Tác động
Lỗ hổng này được đánh giá là dễ khai thác (Easily exploitable) thông qua kết nối mạng qua giao thức HTTP. Mặc dù yêu cầu kẻ tấn công phải có quyền truy cập mạng và sở hữu tài khoản có đặc quyền cao (High privileges), nhưng nếu khai thác thành công, hậu quả đối với hệ thống là vô cùng lớn.
Các tác động chính bao gồm:
- Chiếm quyền kiểm soát (Takeover): Kẻ tấn công có thể kiểm soát toàn bộ phân hệ Oracle Shipping Execution.
- Ảnh hưởng toàn diện đến CIA: Tác động nghiêm trọng đến cả 3 yếu tố cốt lõi của an toàn thông tin bao gồm Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính sẵn sàng (Availability) của dữ liệu vận chuyển, kho vận của doanh nghiệp.
Khuyến nghị khắc phục từ Bitech
Để bảo vệ hệ thống trước các nguy cơ bị khai thác, Bitech khuyến nghị các tổ chức và doanh nghiệp đang sử dụng Oracle E-Business Suite thực hiện khẩn cấp các biện pháp sau:
- Cập nhật bản vá ngay lập tức: Tải và cài đặt bản vá bảo mật mới nhất trong đợt phát hành Oracle Critical Patch Update (CPU) tháng 7/2026.
- Rà soát phân quyền tài khoản: Kiểm tra chặt chẽ các tài khoản có đặc quyền cao (High privileged accounts) trên hệ thống, thực hiện nguyên tắc đặc quyền tối thiểu (Least Privilege).
- Giám sát lưu lượng mạng: Tăng cường theo dõi các truy vấn HTTP bất thường hướng đến phân hệ Oracle Shipping Execution để phát hiện sớm các dấu hiệu can thiệp trái phép.
Nguồn tham khảo
Quản trị viên có thể xem chi tiết thông báo kỹ thuật từ các nguồn chính thức:
- National Vulnerability Database (NVD) - CVE-2026-60918
- Oracle Critical Patch Update Advisory - July 2026
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60918
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html