Lỗ hổng CVE-2026-60704 trên Oracle Siebel CRM cho phép kẻ tấn công không cần xác thực truy cập trái phép vào toàn bộ dữ liệu quan trọng qua giao thức HTTP.
Vừa qua, trung tâm ghi nhận sự cố bảo mật Bitech phát cảnh báo về một lỗ hổng an ninh mạng mới được công bố ngày 21/07/2026, ảnh hưởng trực tiếp đến ứng dụng Oracle Siebel CRM. Lỗ hổng này được theo dõi dưới mã danh định CVE-2026-60704, có nguy cơ làm rò rỉ nghiêm trọng dữ liệu doanh nghiệp.
Mức độ nghiêm trọng và tác động
Lỗ hổng CVE-2026-60704 được đánh giá ở mức Nghiêm trọng cao (HIGH) với thang điểm CVSS v3.1 là 7.5.
Kẻ tấn công không cần xác thực (unauthenticated) nhưng có kết nối mạng tới hệ thống thông qua giao thức HTTP có thể khai thác lỗ hổng này một cách dễ dàng. Khai thác thành công cho phép kẻ tấn công chiếm quyền truy cập trái phép vào các dữ liệu nhạy cảm hoặc toàn bộ dữ liệu có thể truy cập được trên Siebel CRM Cloud Applications. Tuy nhiên, lỗ hổng này chỉ ảnh hưởng tới tính bảo mật (Confidentiality: High), không làm ảnh hưởng đến tính toàn vẹn (Integrity: None) hay tính sẵn sàng (Availability: None) của hệ thống.
Đối tượng bị ảnh hưởng
Lỗ hổng xuất hiện trong thành phần Siebel Cloud Manager thuộc dòng sản phẩm Siebel CRM Cloud Applications của Oracle.
- Các phiên bản chịu ảnh hưởng: Tất cả các phiên bản từ 22.3 đến 26.5.
- Đối tượng rủi ro: Các doanh nghiệp, tổ chức đang triển khai và sử dụng giải pháp Oracle Siebel CRM trong khoảng phiên bản nêu trên có mở kết nối mạng qua giao thức HTTP.
Chi tiết kỹ thuật
- Mã CVE: CVE-2026-60704
- Ngày công bố: 21/07/2026
- Điểm CVSS v3.1: 7.5
- Chuỗi vectơ CVSS:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Phân tích chuỗi vectơ cho thấy lỗ hổng có thể truy cập từ xa qua mạng (AV:N), độ phức tạp khai thác thấp (AC:L), không yêu cầu quyền đặc quyền (PR:N) và không cần sự tương tác từ người dùng (UI:N).
Khuyến nghị khắc phục
Để đảm bảo an toàn cho dữ liệu doanh nghiệp, Bitech khuyến nghị các quản trị viên hệ thống thực hiện ngay các bước sau:
- Kiểm tra phiên bản: Rà soát ngay lập tức thành phần Siebel Cloud Manager trong hệ thống để xác định xem có nằm trong khoảng phiên bản từ 22.3 đến 26.5 hay không.
- Cập nhật bản vá: Tiến hành tải và áp dụng bản cập nhật bảo mật mới nhất thuộc đợt phát hành Oracle Critical Patch Update (CPU) tháng 07/2026.
- Thắt chặt truy cập mạng: Trong thời gian chờ áp dụng bản vá, cần giới hạn hoặc giám sát chặt chẽ các kết nối HTTP tới thành phần Siebel Cloud Manager từ các mạng bên ngoài.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-60704
- Thông báo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60704
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html