Oracle vừa công bố lỗ hổng CVE-2026-60586 mức độ Cao trên MySQL Connector/J, cho phép kẻ tấn công truy cập trái phép vào các dữ liệu quan trọng của hệ thống.
Trung tâm Giám sát và Cảnh báo Bảo mật Bitech vừa ghi nhận thông tin công bố chính thức ngày 21/07/2026 về lỗ hổng bảo mật mới mang mã hiệu CVE-2026-60586 xuất hiện trong sản phẩm Oracle MySQL Connectors.
Đây là lỗ hổng có mức độ nghiêm trọng Cao (High) với điểm số CVSS v3.1 là 7.7, đe dọa trực tiếp đến tính bảo mật dữ liệu của các hệ thống đang sử dụng thành phần Connector/J để kết nối ứng dụng Java với cơ sở dữ liệu MySQL.
Chi tiết kỹ thuật về lỗ hổng CVE-2026-60586
- Mã lỗ hổng: CVE-2026-60586
- Ngày phát hành: 21/07/2026
- Điểm CVSS v3.1: 7.7 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N)
- Mức độ nghiêm trọng: Cao (High)
- Thành phần bị ảnh hưởng: Oracle MySQL Connectors (phân đoạn Connector/J)
- Phiên bản bị ảnh hưởng: Các phiên bản 9.7.0 và 9.7.1
Lỗ hổng này rất dễ bị khai thác bởi kẻ tấn công có đặc quyền thấp (Low Privilege) thông qua truy cập mạng qua nhiều giao thức khác nhau mà không cần sự tương tác của người dùng. Mặc dù điểm yếu nằm ở MySQL Connectors, việc khai thác thành công có thể dẫn đến thay đổi phạm vi tác động (Scope Change), gây ảnh hưởng lan rộng sang các sản phẩm và dịch vụ tích hợp khác.
Hậu quả chính của đợt tấn công này là rò rỉ thông tin nghiêm trọng, cho phép kẻ tấn công đọc và truy cập trái phép vào toàn bộ dữ liệu quan trọng mà MySQL Connectors có quyền tiếp cận.
Đối tượng bị ảnh hưởng
Lỗ hổng này ảnh hưởng trực tiếp đến:
- Các doanh nghiệp, tổ chức và nhà phát triển ứng dụng Java đang triển khai thư viện MySQL Connector/J phiên bản 9.7.0 và 9.7.1.
- Các hệ thống máy chủ ứng dụng kết nối trực tiếp đến cơ sở dữ liệu Oracle MySQL thông qua trình điều khiển JDBC này.
Khuyến nghị khắc phục
Để đảm bảo an toàn cho hệ thống và tránh nguy cơ bị rò rỉ dữ liệu nhạy cảm, Bitech khuyến nghị các đơn vị quản trị hệ thống thực hiện ngay các biện pháp sau:
- Cập nhật phiên bản khắc phục: Kiểm tra ngay phiên bản MySQL Connector/J đang sử dụng và tiến hành nâng cấp lên phiên bản vá mới nhất do Oracle phát hành.
- Rà soát phân quyền truy cập mạng: Tối ưu hóa chính sách tường lửa, hạn chế các kết nối không cần thiết đến cổng kết nối của ứng dụng và cơ sở dữ liệu.
- Áp dụng nguyên tắc tối thiểu quyền hạn (Least Privilege): Giới hạn quyền hạn của tài khoản kết nối CSDL chỉ vừa đủ để thực thi nhiệm vụ, giảm thiểu thiệt hại nếu kết nối bị chiếm quyền.
- Theo dõi nhật ký hệ thống: Tăng cường giám sát nhật ký truy cập mạng để kịp thời phát hiện các hành vi truy cập bất thường.
Nguồn tham khảo
- NVD - Detail CVE-2026-60586: https://nvd.nist.gov/vuln/detail/CVE-2026-60586
- Oracle Critical Patch Update Advisory (July 2026): https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60586
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html