Oracle vừa phát hành bản vá cho lỗ hổng nghiêm trọng CVE-2026-60686 trên Oracle E-Business Suite, cho phép kẻ tấn công can thiệp và đánh cắp dữ liệu quan trọng.
Đội ngũ biên tập tin tức bảo mật tại Bitech (bitech.vn) xin gửi lời cảnh báo tới các quản trị viên hệ thống về một lỗ hổng an toàn thông tin mức độ cao vừa được công bố, ảnh hưởng trực tiếp đến hệ thống Oracle E-Business Suite.
Vào ngày 21/07/2026, lỗ hổng bảo mật mang mã hiệu CVE-2026-60686 đã chính thức được ghi nhận và công bố trên Cơ sở dữ liệu Lỗ hổng Quốc gia (NVD) cũng như trong thông cáo cảnh báo bảo mật định kỳ của Oracle.
Mức độ nghiêm trọng và Thông tin kỹ thuật
- Mã lỗ hổng: CVE-2026-60686
- Mức độ nghiêm trọng: HIGH (Cao)
- Điểm CVSS v3.1: 8.1
- Chuỗi Vectơ CVSS:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N - Thành phần ảnh hưởng: Internal Operations thuộc sản phẩm Oracle U.S. Federal Financials.
Lỗ hổng này được đánh giá là dễ bị khai thác. Kẻ tấn công chỉ cần có tài khoản với quyền hạn thấp (Low privileges) và khả năng truy cập mạng qua giao thức HTTP là có thể thực hiện đòn tấn công. Quá trình khai thác không yêu cầu sự tương tác từ người dùng cuối (No User Interaction).
Tác hại của lỗ hổng
Khi khai thác thành công CVE-2026-60686, kẻ tấn công có thể gây ra những thiệt hại nghiêm trọng đối với hệ thống của doanh nghiệp, bao gồm:
- Xâm phạm tính bảo mật (Confidentiality): Truy cập trái phép vào các dữ liệu quan trọng hoặc toàn bộ dữ liệu có thể truy cập trên Oracle U.S. Federal Financials.
- Xâm phạm tính toàn vẹn (Integrity): Tạo mới, chỉnh sửa hoặc xóa trái phép các dữ liệu quan trọng cũng như toàn bộ dữ liệu lưu trữ trên phân hệ này.
Đối tượng bị ảnh hưởng
Lỗ hổng ảnh hưởng trực tiếp tới các đơn vị, doanh nghiệp đang sử dụng sản phẩm Oracle E-Business Suite (hợp phần Oracle U.S. Federal Financials) thuộc các phiên bản từ 12.2.3 đến 12.2.15.
Khuyến nghị khắc phục từ Bitech
Để đảm bảo an toàn cho hạ tầng công nghệ thông tin và dữ liệu doanh nghiệp, Bitech khuyến nghị các quản trị viên hệ thống nhanh chóng thực hiện các bước sau:
- Cập nhật bản vá: Tiến hành nâng cấp và áp dụng ngay bản cập nhật bảo mật tháng 7/2026 (Critical Patch Update - CPU) do Oracle phát hành.
- Rà soát quyền truy cập: Kiểm tra lại danh sách các tài khoản người dùng có quyền truy cập qua HTTP, loại bỏ các tài khoản không sử dụng và duy trì nguyên tắc quyền tối thiểu (Least Privilege).
- Tăng cường giám sát: Cấu hình tường lửa ứng dụng (WAF) và theo dõi chặt chẽ nhật ký truy cập (system log) nhằm phát hiện sớm các truy vấn bất thường hướng tới thành phần Internal Operations.
Nguồn tham khảo
- Cơ sở dữ liệu Lỗ hổng Quốc gia (NVD): CVE-2026-60686 Detail
- Thông báo cập nhật bảo mật từ Oracle: Oracle Critical Patch Update Advisory - July 2026
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60686
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html