Lỗ hổng bảo mật nghiêm trọng CVE-2026-60633 (CVSS 8.8) trên Oracle WebCenter Content cho phép kẻ tấn công chiếm quyền kiểm soát hệ thống từ xa.
Mới đây, vào ngày 21/07/2026, một lỗ hổng bảo mật mức độ nghiêm trọng (HIGH) đã được công bố liên quan đến sản phẩm Oracle WebCenter Content thuộc bộ giải pháp Oracle Fusion Middleware. Lỗ hổng này được theo dõi dưới mã danh định CVE-2026-60633 với điểm số CVSS v3.1 đạt 8.8.
Đội ngũ Bitech xin gửi tới quý quản trị viên thông tin chi tiết và khuyến nghị ứng phó đối với lỗ hổng này.
Mức độ nghiêm trọng và cơ chế khai thác
Lỗ hổng CVE-2026-60633 nằm trong thành phần Content Server của Oracle WebCenter Content. Dựa trên chỉ số CVSS 3.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H), bản chất kỹ thuật của lỗ hổng được xác định như sau:
- Khả năng khai thác từ xa: Kẻ tấn công không cần xác thực (Unauthenticated) có thể truy cập thông qua giao thức HTTP qua mạng để thực hiện hành vi can thiệp.
- Độ phức tạp tấn công thấp: Việc thực thi cuộc tấn công tương đối dễ dàng, không đòi hỏi điều kiện kỹ thuật đặc thù.
- Yêu cầu tương tác người dùng: Tấn công chỉ thành công khi có sự tương tác từ phía người dùng khác (không phải kẻ tấn công), ví dụ như nhấp vào liên kết chứa mã độc.
Nếu khai thác thành công, kẻ tấn công có thể chiếm quyền kiểm soát hoàn toàn (takeover) ứng dụng Oracle WebCenter Content, gây ảnh hưởng nghiêm trọng tới cả 3 yếu tố: tính bảo mật (Confidentiality), tính toàn vẹn (Integrity) và tính sẵn sàng (Availability) của hệ thống.
Phiên bản bị ảnh hưởng
Lỗ hổng tác động trực tiếp tới các phiên bản Oracle WebCenter Content (thành phần Content Server) sau:
- Version 12.2.1.4.0
- Version 14.1.2.0.0
Các tổ chức, doanh nghiệp đang vận hành hệ thống quản lý nội dung trên hạ tầng Oracle Fusion Middleware thuộc các phiên bản này cần nhanh chóng kiểm tra và lập kế hoạch xử lý.
Khuyến nghị khắc phục
Để đảm bảo an toàn cho tài nguyên thông tin, Bitech khuyến nghị các đơn vị thực hiện ngay các biện pháp sau:
- Cập nhật bản vá: Áp dụng ngay bản vá bảo mật mới nhất trong kỳ cập nhật định kỳ (Critical Patch Update - CPU) tháng 07/2026 do Oracle cung cấp.
- Tăng cường nhận thức: Cảnh báo người dùng và quản trị viên không nhấp vào các liên kết lạ hoặc thực hiện các thao tác không xác định khi đang đăng nhập hệ thống.
- Giám sát lưu lượng mạng: Kiểm tra nhật ký truy cập (access log) qua cổng HTTP để phát hiện kịp thời các truy vấn bất thường hướng vào thành phần Content Server.
Tham khảo chi tiết tại:
- National Vulnerability Database: CVE-2026-60633 Detail
- Oracle Security Advisory: Oracle Critical Patch Update Advisory - July 2026
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60633
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html