Bitech phát cảnh báo về lỗ hổng CVE-2026-60898 có điểm CVSS 8.8 trên Oracle Warehouse Management, cho phép kẻ tấn công chiếm quyền kiểm soát hệ thống.
Mới đây, Bitech ghi nhận thông tin cảnh báo bảo mật về lỗ hổng mã số CVE-2026-60898 liên quan đến sản phẩm Oracle Warehouse Management thuộc bộ giải pháp Oracle E-Business Suite. Lỗ hổng này được công bố chính thức vào ngày 21/07/2026 với mức độ nghiêm trọng Cao (HIGH), điểm số CVSS v3.1 đạt 8.8.
Chi tiết kỹ thuật của lỗ hổng CVE-2026-60898
Lỗ hổng xuất phát từ thành phần Internal Operations trong hệ thống Oracle Warehouse Management. Đây là một lỗ hổng dễ khai thác, cho phép kẻ tấn công chỉ cần có quyền truy cập mức thấp (low privileged) thông qua giao thức HTTP kết nối qua mạng là có thể thâm nhập và xâm phạm hệ thống.
Đáng chú ý, việc khai thác không yêu cầu sự tương tác từ phía người dùng (User Interaction: None) và độ phức tạp của cuộc tấn công ở mức thấp (Attack Complexity: Low). Khi khai thác thành công, kẻ tấn công có thể chiếm quyền kiểm soát (takeover) toàn bộ hệ thống Oracle Warehouse Management, gây ảnh hưởng nghiêm trọng đến cả 3 yếu tố bảo mật:
- Tính bảo mật (Confidentiality): Nguy cơ rò rỉ toàn bộ dữ liệu quản lý kho hàng và thông tin vận hành chuỗi cung ứng.
- Tính toàn vẹn (Integrity): Kẻ tấn công có thể chỉnh sửa, thêm bớt hoặc xóa dữ liệu trái phép.
- Tính sẵn sàng (Availability): Khả năng gây gián đoạn hoặc ngưng trệ hoàn toàn hoạt động của hệ thống.
Đối tượng bị ảnh hưởng
Lỗ hổng bảo mật này ảnh hưởng trực tiếp đến các tổ chức, doanh nghiệp đang triển khai sản phẩm Oracle Warehouse Management (thuộc Oracle E-Business Suite) trên các phiên bản sau:
- Các phiên bản từ 12.2.3 đến 12.2.15.
Mức độ nghiêm trọng
- Mã lỗ hổng: CVE-2026-60898
- Thang điểm CVSS v3.1: 8.8 / 10 (Mức độ Cao - HIGH)
- Chuỗi Vector CVSS:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Khuyến nghị khắc phục
Để đảm bảo an toàn cho hệ thống quản lý kho và chuỗi cung ứng của doanh nghiệp, Bitech khuyến nghị các quản trị viên hệ thống thực hiện ngay các biện pháp sau:
- Cập nhật bản vá: Áp dụng ngay bản cập nhật bảo mật định kỳ (Critical Patch Update - CPU) tháng 7/2026 từ Oracle để khắc phục hoàn toàn lỗ hổng.
- Tối ưu hóa phân quyền: Kiểm tra lại danh sách tài khoản người dùng, áp dụng nguyên tắc quyền hạn tối thiểu (Principle of Least Privilege) để giảm thiểu nguy cơ bị lợi dụng tài khoản có đặc quyền thấp.
- Giám sát kết nối: Tăng cường kiểm soát và giám sát lưu lượng mạng HTTP hướng tới thành phần Internal Operations nhằm phát hiện sớm các hành vi truy cập bất thường.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-60898
- Thông cáo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60898
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html