Oracle phát hành bản vá cho lỗ hổng CVE-2026-60614 trên PeopleSoft Enterprise CS Campus Community, nguy cơ bị thao túng dữ liệu và gây từ chối dịch vụ (DoS).
Tổng quan cảnh báo
Ngày 21/07/2026, Oracle đã công bố bản cập nhật bảo mật định kỳ nhằm khắc phục lỗ hổng an ninh mạng mang mã hiệu CVE-2026-60614 xuất hiện trên sản phẩm Oracle PeopleSoft Enterprise CS Campus Community. Lỗ hổng này được xếp loại mức độ nghiêm trọng Cao (HIGH) với điểm số CVSS v3.1 là 7.1.
Lỗ hổng nằm trong thành phần Person Data, cho phép kẻ tấn công có đặc quyền thấp can thiệp trái phép vào hệ thống, đe dọa trực tiếp đến tính toàn vẹn và tính sẵn sàng của dữ liệu tổ chức.
Chi tiết kỹ thuật và Mức độ tác động
- Mã lỗ hổng: CVE-2026-60614
- Mức độ nghiêm trọng: HIGH (CVSS 3.1 Base Score: 7.1)
- Chuỗi CVSS Vector:
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:H
Theo mô tả kỹ thuật, lỗ hổng này yêu cầu độ phức tạp khai thác cao (AC:H). Tuy nhiên, một kẻ tấn công chỉ cần có quyền truy cập mạng thông qua giao thức HTTP và sở hữu một tài khoản có quyền hạn thấp (Low privileged) là đã có thể thực hiện cuộc tấn công.
Khi khai thác thành công, kẻ tấn công có thể gây ra các thiệt hại cụ thể bao gồm:
- Thao túng dữ liệu (Impact Integrity - High): Tạo mới, xóa hoặc sửa đổi trái phép các dữ liệu quan trọng hoặc toàn bộ dữ liệu có thể truy cập trong hệ thống PeopleSoft Enterprise CS Campus Community.
- Gây gián đoạn dịch vụ (Impact Availability - High): Gây treo hệ thống hoặc làm sập dịch vụ liên tục (tấn công từ chối dịch vụ - DoS hoàn toàn).
- Rò rỉ thông tin (Impact Confidentiality - Low): Đọc trái phép một phần dữ liệu được lưu trữ trên hệ thống.
Đối tượng bị ảnh hưởng
Lỗ hổng ảnh hưởng trực tiếp đến các đơn vị, cơ sở giáo dục hoặc doanh nghiệp đang sử dụng giải pháp:
- Sản phẩm: Oracle PeopleSoft Enterprise CS Campus Community (hợp phần Person Data)
- Phiên bản bị ảnh hưởng: Phiên bản 9.2.38
Khuyến nghị khắc phục
Để đảm bảo an toàn cho hệ thống và tránh nguy cơ bị thất thoát, sai lệch dữ liệu, Bitech khuyến nghị các quản trị viên hệ thống nhanh chóng triển khai các biện pháp sau:
- Cập nhật bản vá ngay lập tức: Kiểm tra và nâng cấp hệ thống lên phiên bản an toàn theo hướng dẫn trong thông báo Critical Patch Update (CPU) tháng 7/2026 của Oracle.
- Kiểm soát quyền truy cập: Rà soát toàn bộ các tài khoản người dùng có quyền truy cập vào hợp phần Person Data, áp dụng nguyên tắc quyền hạn tối thiểu (Least Privilege).
- Tăng cường giám sát: Cấu hình hệ thống giám sát an ninh mạng (SIEM/IDS) để phát hiện các truy vấn HTTP bất thường nhắm vào hệ thống PeopleSoft.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-60614
- Thông cáo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60614
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html