Oracle đã phát hành bản vá cho lỗ hổng nghiêm trọng CVE-2026-60773 (CVSS 9.6) trên Oracle E-Business Suite, cho phép tin tặc đánh cắp và thao túng dữ liệu quan trọng.
Bộ phận biên tập công nghệ Bitech vừa ghi nhận thông tin bảo mật quan trọng liên quan đến lỗ hổng nguy hiểm trên dòng sản phẩm doanh nghiệp của Oracle. Vào ngày 21/07/2026, thông tin chi tiết về lỗ hổng mã số CVE-2026-60773 đã chính thức được công bố.
Đây là lỗ hổng ở mức độ Nghiêm trọng (Critical) với điểm số CVSS v3.1 lên tới 9.6/10, ảnh hưởng trực tiếp đến thành phần Core của sản phẩm Oracle Application Object Library thuộc bộ phần mềm Oracle E-Business Suite.
Chi tiết kỹ thuật và Mức độ nghiêm trọng
Theo mô tả kỹ thuật, lỗ hổng CVE-2026-60773 xuất phát từ thành phần Core thuộc Oracle Application Object Library. Kẻ tấn công chỉ cần có quyền truy cập mạng thông qua giao thức HTTPS và sở hữu một tài khoản với mức đặc quyền thấp (low privileges) là có thể dễ dàng khai thác thành công mà không cần bất kỳ sự tương tác nào từ phía người dùng.
Điểm đáng chú ý của CVE-2026-60773 nằm ở việc thay đổi phạm vi tác động (Scope Change - S:C). Mặc dù lỗ hổng gốc xuất hiện tại Oracle Application Object Library, nhưng khi bị khai thác thành công, thiệt hại có thể lan rộng sang nhiều sản phẩm và phân hệ khác trong cùng hệ thống.
Tác động của cuộc tấn công bao gồm:
- Bảo mật (Confidentiality): Kẻ tấn công có thể truy cập trái phép và đọc toàn bộ dữ liệu quan trọng lưu trữ trên hệ thống.
- Toàn vẹn (Integrity): Cho phép tạo mới, sửa đổi hoặc xóa hoàn toàn các dữ liệu quan trọng thuộc Oracle Application Object Library và các dữ liệu liên quan.
Đối tượng bị ảnh hưởng
Lỗ hổng này ảnh hưởng trực tiếp đến các tổ chức, doanh nghiệp đang vận hành hệ thống Oracle E-Business Suite sử dụng các phiên bản từ 12.2.3 đến 12.2.15.
do Oracle E-Business Suite thường đóng vai trò là xương sống trong quản trị tài nguyên doanh nghiệp (ERP), việc lỗ hổng này bị khai thác có thể dẫn đến lộ rò thông tin tài chính, nhân sự cũng như gián đoạn vận hành nghiêm trọng.
Khuyến nghị khắc phục
Để đảm bảo an toàn cho hệ thống thông tin của doanh nghiệp, Bitech khuyến nghị các quản trị viên hệ thống thực hiện ngay các bước sau:
- Cập nhật bản vá khẩn cấp: Nhanh chóng kiểm tra và áp dụng bản cập nhật bảo mật định kỳ tháng 7/2026 (Oracle Critical Patch Update - CPU July 2026) theo hướng dẫn từ hãng.
- Rà soát quyền truy cập: Kiểm tra lại toàn bộ các tài khoản người dùng có quyền thấp trên hệ thống HTTPS, thu hồi các tài khoản không sử dụng hoặc không rõ nguồn gốc.
- Giám sát lưu lượng mạng: Tăng cường theo dõi log truy cập HTTPS vào phân hệ Oracle E-Business Suite nhằm phát hiện sớm các hành vi truy vấn bất thường hoặc các nỗ lực leo thang đặc quyền.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-60773
- Thông báo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60773
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html