Oracle công bố lỗ hổng CVE-2026-61073 mức độ HIGH trong PeopleSoft Enterprise FIN cho phép kẻ tấn công từ xa truy cập trái phép dữ liệu nhạy cảm qua HTTP.
Tổng quan về lỗ hổng CVE-2026-61073
Vào ngày 21/07/2026, thông tin về lỗ hổng bảo mật nghiêm trọng mang mã hiệu CVE-2026-61073 liên quan đến dòng sản phẩm Oracle PeopleSoft đã chính thức được công bố trong đợt cập nhật vá lỗi định kỳ của Oracle.
Lỗ hổng này xuất hiện tại thành phần Purchasing thuộc sản phẩm PeopleSoft Enterprise FIN Common Objects Brazil. Kẻ tấn công không cần xác thực có thể dễ dàng khai thác lỗ hổng thông qua kết nối mạng qua giao thức HTTP để xâm nhập và truy cập trái phép vào dữ liệu hệ thống.
Mức độ nghiêm trọng và Tác động
Lỗ hổng CVE-2026-61073 được xếp hạng ở mức độ Nghiêm trọng (HIGH) với điểm số CVSS v3.1 Base Score là 7.5.
Chi tiết chuỗi đánh giá chỉ số CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
- Khả năng khai thác từ xa (AV:N): Kẻ tấn công có thể thực hiện cuộc tấn công thông qua môi trường mạng mà không cần tiếp cận trực tiếp thiết bị.
- Độ phức tạp tấn công thấp (AC:L): Việc khai thác không yêu cầu điều kiện đặc biệt hay kỹ thuật phức tạp.
- Không cần quyền truy cập (PR:N): Đối tượng tấn công hoàn toàn không cần tài khoản hay quyền hạn ban đầu trên hệ thống.
- Không cần tương tác người dùng (UI:N): Cuộc tấn công có thể diễn ra tự động mà không cần người dùng thực hiện bất kỳ thao tác nào.
- Tác động tính bảo mật cao (C:H): Khai thác thành công lỗ hổng cho phép kẻ tấn công lấy được toàn bộ hoặc một lượng lớn dữ liệu quan trọng, nhạy cảm được lưu trữ trong phân hệ PeopleSoft Enterprise FIN Common Objects Brazil.
Đối tượng bị ảnh hưởng
Lỗ hổng này ảnh hưởng trực tiếp đến các hệ thống đang vận hành sản phẩm và phiên bản sau:
- Sản phẩm: Oracle PeopleSoft Enterprise FIN Common Objects Brazil (thành phần Purchasing).
- Phiên bản ảnh hưởng: Phiên bản 9.1.
Khuyến nghị khắc phục
Để đảm bảo an toàn thông tin và ngăn chặn nguy cơ rò rỉ dữ liệu doanh nghiệp, chuyên gia Bitech khuyến nghị các quản trị viên hệ thống thực hiện các bước sau:
- Cập nhật bản vá chính thức: Khẩn trương tải và áp dụng bản cập nhật vá lỗi mới nhất từ Oracle trong đợt Critical Patch Update (CPU) tháng 07/2026.
- Tăng cường kiểm soát mạng: Thắt chặt chính sách tường lửa, hạn chế tối đa các kết nối HTTP/HTTPS đến máy chủ PeopleSoft từ các địa chỉ IP không đáng tin cậy hoặc từ mạng Internet bên ngoài.
- Rà soát nhật ký hệ thống: Thường xuyên kiểm tra nhật ký truy cập (access log) của các ứng dụng PeopleSoft để kịp thời phát hiện các truy vấn bất thường hướng vào mô-đun Purchasing.
Nguồn tham khảo
- Cơ sở dữ liệu Lỗ hổng Quốc gia Mỹ (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-61073
- Thông báo bảo mật chính thức từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-61073
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html