Oracle công bố bản vá cho lỗ hổng nghiêm trọng CVE-2026-60581 (CVSS 7.5) trên Oracle E-Business Suite V16. Doanh nghiệp cần cập nhật ngay để tránh nguy cơ bị chiếm quyền kiểm soát.
Vào ngày 21/07/2026, Oracle đã chính thức phát hành thông tin cảnh báo bảo mật về lỗ hổng mã hiệu CVE-2026-60581 ảnh hưởng trực tiếp đến hệ thống Oracle Enterprise Command Center Framework thuộc dòng sản phẩm Oracle E-Business Suite. Đây là lỗ hổng có mức độ nghiêm trọng cao (HIGH), cho phép kẻ tấn công chiếm quyền kiểm soát toàn bộ framework nếu tiếp cận được phân đoạn mạng kế cận.
Bitech khuyến cáo các quản trị viên hệ thống và bộ phận an ninh thông tin tại các doanh nghiệp cần lập tức rà soát và áp dụng các giải pháp khắc phục kịp thời.
Thông tin chi tiết về lỗ hổng bảo mật
- Mã lỗ hổng: CVE-2026-60581
- Điểm số CVSS v3.1: 7.5 (Mức độ Cao / HIGH)
- Chuỗi CVSS Vector:
CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H - Thành phần bị ảnh hưởng: Thành phần Core của Oracle Enterprise Command Center Framework (thuộc Oracle E-Business Suite)
- Phiên bản ảnh hưởng: Phiên bản V16
- Ngày công bố: 21/07/2026
Phân tích kỹ thuật và nguy cơ an toàn thông tin
Lỗ hổng xuất hiện tại thành phần Core của Oracle Enterprise Command Center Framework. Kẻ tấn công không cần xác thực (Unauthenticated - PR:N) và không cần sự tương tác từ người dùng (UI:N) vẫn có thể khai thác thành công lỗ hổng này.
Tuy nhiên, cuộc tấn công yêu cầu điều kiện kỹ thuật nhất định:
- Truy cập mạng kế cận (Adjacent Network - AV:A): Kẻ tấn công phải tiếp cận được phân đoạn mạng vật lý hoặc mạng kế cận kết nối trực tiếp với hạ tầng phần cứng đang chạy Oracle Enterprise Command Center Framework.
- Độ phức tạp cao (Attack Complexity High - AC:H): Việc khai thác đòi hỏi điều kiện kỹ thuật phức tạp, không dễ thực hiện một cách tự động hóa trên diện rộng.
Mặc dù độ phức tạp cao, nếu khai thác thành công, kẻ tấn công có thể chiếm toàn bộ quyền kiểm soát (takeover) Oracle Enterprise Command Center Framework. Lỗ hổng gây ảnh hưởng nghiêm trọng ở cả ba tiêu chí:
- Tính bảo mật (Confidentiality): Rò rỉ toàn bộ dữ liệu nhạy cảm.
- Tính toàn vẹn (Integrity): Thay đổi, sửa đổi dữ liệu hệ thống trái phép.
- Tính sẵn sàng (Availability): Gây gián đoạn hoặc ngưng trệ hoàn toàn dịch vụ.
Đối tượng bị ảnh hưởng
Các tổ chức, doanh nghiệp đang vận hành hệ thống Oracle E-Business Suite phiên bản V16 có tích hợp và sử dụng Oracle Enterprise Command Center Framework đều nằm trong phạm vi rủi ro.
Khuyến nghị khắc phục cho doanh nghiệp
Để đảm bảo an toàn cho hệ thống thông tin của doanh nghiệp, Bitech khuyến nghị các đơn vị thực hiện ngay các bước sau:
- Cập nhật bản vá bảo mật: Tải và áp dụng bản cập nhật mới nhất từ đợt phát hành Critical Patch Update (July 2026) của Oracle dành cho Oracle E-Business Suite V16.
- Cấu hình phân vùng mạng (Network Segmentation): Thắt chặt kiểm soát truy cập đối với phân đoạn mạng kết nối tới máy chủ Oracle. Đảm bảo chỉ các thiết bị và người dùng được cấp phép mới có thể truy cập vào vùng mạng nội bộ này.
- Giám sát hoạt động mạng: Rà soát nhật ký hệ thống (system logs) và giám sát lưu lượng mạng kế cận để kịp thời phát hiện các hành vi truy cập bất thường.
Tham khảo
- NVD - CVE-2026-60581: https://nvd.nist.gov/vuln/detail/CVE-2026-60581
- Oracle Security Alert (July 2026 CPU): https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60581
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html