Oracle vừa công bố bản vá cho lỗ hổng CVE-2026-61009 (CVSS 8.0) trong Oracle E-Business Suite, có thể cho phép chiếm quyền kiểm soát hệ thống.
Đội ngũ chuyên gia an ninh mạng tại Bitech vừa ghi nhận thông tin cảnh báo bảo mật quan trọng liên quan đến lỗ hổng CVE-2026-61009, được công bố chính thức vào ngày 21/07/2026. Lỗ hổng này nằm trong giải pháp quản trị doanh nghiệp Oracle E-Business Suite, tiềm ẩn nguy cơ cho phép kẻ tấn công chiếm quyền kiểm soát hệ thống nếu không được xử lý kịp thời.
Chi tiết kỹ thuật về lỗ hổng CVE-2026-61009
Lỗ hổng CVE-2026-61009 được đánh giá ở mức độ nghiêm trọng Cao (HIGH) với thang điểm CVSS v3.1 đạt 8.0 (Vector: CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H). Vấn đề an ninh này xuất phát từ thành phần Internal Operations thuộc sản phẩm Oracle Process Manufacturing Logistics.
Theo phân tích kỹ thuật:
- Phương thức tấn công: Kẻ tấn công thực hiện kết nối từ xa qua mạng thông qua giao thức HTTP.
- Điều kiện khai thác: Yêu cầu kẻ tấn công phải có tài khoản với đặc quyền cao (High Privileges). Mặc dù độ phức tạp của cuộc tấn công được xếp ở mức cao (Attack Complexity: High), việc khai thác thành công vẫn hoàn toàn có thể xảy ra.
- Mức độ ảnh hưởng: Lỗ hổng có đặc tính thay đổi phạm vi tác động (Scope Change). Tấn công thành công có thể dẫn đến việc chiếm quyền kiểm soát toàn bộ mô-đun Oracle Process Manufacturing Logistics, đồng thời gây ảnh hưởng nghiêm trọng lan sang các sản phẩm khác trong cùng hệ thống. Cả ba yếu tố Bảo mật (Confidentiality), Toàn vẹn (Integrity) và Khả dụng (Availability) đều chịu tác động ở mức cao.
Đối tượng chịu ảnh hưởng
Lỗ hổng này đe dọa trực tiếp đến các tổ chức và doanh nghiệp đang vận hành hệ thống Oracle E-Business Suite với các thông tin phiên bản cụ thể như sau:
- Sản phẩm: Oracle Process Manufacturing Logistics (thành phần Internal Operations).
- Các phiên bản bị ảnh hưởng: Từ phiên bản 12.2.3 đến 12.2.15.
Khuyến nghị khắc phục từ Bitech
Để đảm bảo an toàn cho dữ liệu và hệ thống vận hành, Bitech khuyến nghị các đơn vị quản trị hệ thống nhanh chóng thực hiện các bước sau:
- Cập nhật bản vá: Tiến hành tải và cài đặt bản vá bảo mật mới nhất thuộc đợt phát hành Critical Patch Update (CPU) tháng 7/2026 từ tập đoàn Oracle.
- Rà soát phân quyền: Tăng cường kiểm soát và áp dụng nguyên tắc đặc quyền tối thiểu đối với các tài khoản quản trị có quyền hạn cao truy cập vào ứng dụng qua giao thức HTTP/HTTPS.
- Giám sát lưu lượng mạng: Theo dõi kỹ các dấu hiệu bất thường trong nhật ký truy cập (access log) của các máy chủ chạy Oracle E-Business Suite.
Nguồn thông tin tham khảo
Doanh nghiệp có thể kiểm tra chi tiết bản tin bảo mật chính thức tại:
- Cơ sở dữ liệu lỗ hổng quốc gia Mỹ (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-61009
- Cảnh báo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-61009
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html