Bitech cảnh báo lỗ hổng CVE-2026-60541 (CVSS 9.8) trên Oracle SOA Suite cho phép kẻ tấn công từ xa chiếm toàn bộ quyền kiểm soát hệ thống mà không cần xác thực.
Ngày 21/07/2026, Oracle đã chính thức công bố thông tin về lỗ hổng bảo mật đặc biệt nghiêm trọng mang mã hiệu CVE-2026-60541 ảnh hưởng đến giải pháp Oracle SOA Suite thuộc dòng sản phẩm Oracle Fusion Middleware. Đội ngũ kỹ thuật của Bitech khuyến nghị các tổ chức, doanh nghiệp đang vận hành hệ thống này cần khẩn trương rà soát và áp dụng bản vá nhằm tránh nguy cơ bị xâm nhập.
Chi tiết kỹ thuật và Mức độ nghiêm trọng
Lỗ hổng CVE-2026-60541 xuất hiện trong thành phần Enterprise Scheduling System của Oracle SOA Suite. Đây là lỗ hổng rất dễ bị khai thác (Easily exploitable), cho phép kẻ tấn công chưa qua xác thực (unauthenticated attacker) có kết nối mạng qua giao thức HTTP thực hiện tấn công từ xa.
- Mã lỗ hổng: CVE-2026-60541
- Ngày phát hành: 21/07/2026
- Điểm đánh giá CVSS v3.1: 9.8 / 10 (Mức độ Mức độ Nghiêm trọng - CRITICAL)
- Chuỗi Vector CVSS:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nếu tấn công thành công, kẻ gian có thể chiếm quyền kiểm soát hoàn toàn (takeover) Oracle SOA Suite. Lỗ hổng này gây ảnh hưởng tối đa đến cả 3 yếu tố an toàn thông tin: Tính bảo mật (Confidentiality), Tính toàn vẹn (Integrity) và Tính khả dụng (Availability) của hệ thống.
Đối tượng bị ảnh hưởng
Lỗ hổng tác động trực tiếp đến các phiên bản Oracle SOA Suite đang được hỗ trợ bao gồm:
- Phiên bản 12.2.1.4.0
- Phiên bản 14.1.2.0.0
Các doanh nghiệp sử dụng Oracle Fusion Middleware có triển khai thành phần Enterprise Scheduling System trên các phiên bản nêu trên đều nằm trong phạm vi nguy cơ cao.
Khuyến nghị khắc phục từ Bitech
Để đảm bảo an toàn cho hạ tầng công nghệ thông tin, Bitech khuyến nghị các đơn vị quản trị hệ thống thực hiện ngay các biện pháp sau:
- Cập nhật bản vá khẩn cấp: Truy cập cổng hỗ trợ của Oracle để tải và cài đặt ngay bản vá bảo mật mới nhất thuộc đợt phát hành Critical Patch Update (CPU) tháng 07/2026.
- Kiểm soát truy cập mạng: Tăng cường cấu hình tường lửa, hạn chế tối đa việc công khai cổng dịch vụ HTTP của Oracle SOA Suite ra Internet. Chỉ cho phép các địa chỉ IP tin cậy truy cập vào thành phần Enterprise Scheduling System.
- Rà soát nhật ký (Log audit): Kiểm tra lại lịch sử truy cập HTTP tới hệ thống để phát hiện sớm các hành vi truy vấn bất thường hoặc có dấu hiệu thăm dò lỗ hổng.
Nguồn tham khảo
- Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-60541
- Cảnh báo bảo mật từ Oracle: https://www.oracle.com/security-alerts/cpujul2026.html
Ngày phát hành: 21/07/2026
Nguồn: NVD — CVE-2026-60541
Tham khảo: https://www.oracle.com/security-alerts/cpujul2026.html