CVE-2026-60376

Przejęcie kontroli nad Oracle Service Delivery Platform przez sieć

CVSS 9.8v3.1pub. 2026-07-21upd. 2026-07-28

Krytyczna podatność w komponencie Messaging Enabler produktu Oracle Service Delivery Platform (Oracle Fusion Middleware) umożliwia nieuwierzytelnionemu atakującemu zdalne przejęcie kontroli nad systemem. Wysoki wynik CVSS 9.8 oraz brak wymagań wstępnych po stronie atakującego czynią tę lukę wyjątkowo niebezpieczną.

▸ Pokaż oryginał (EN)

Vulnerability in the Service Delivery Platform product of Oracle Fusion Middleware (component: Messaging Enabler). Supported versions that are affected are 12.2.1.4.0 and 14.1.2.0.0. Easily exploitable vulnerability allows unauthenticated attacker with network access via T3, IIOP to compromise Service Delivery Platform. Successful attacks of this vulnerability can result in takeover of Service Delivery Platform. CVSS 3.1 Base Score 9.8 (Confidentiality, Integrity and Availability impacts). CVSS Vector: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

🤖 Analiza AI

Jak działa

Atakujący z dostępem sieciowym może wykorzystać podatność za pośrednictwem protokołów T3 lub IIOP — typowych protokołów komunikacyjnych środowisk Oracle WebLogic/Fusion Middleware. Luka jest łatwa w eksploatacji (atak nie wymaga uwierzytelnienia ani interakcji użytkownika). Umożliwia to przeprowadzenie ataku auth bypass, który prowadzi do pełnego przejęcia platformy.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na pełne przejęcie Oracle Service Delivery Platform, co obejmuje naruszenie poufności, integralności oraz dostępności systemu. W praktyce oznacza to możliwość odczytu i modyfikacji danych oraz wywołania odmowy usługi (DoS).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — Oracle Critical Patch Update z lipca 2026 roku (https://www.oracle.com/security-alerts/cpujul2026.html). Dodatkowo zaleca się ograniczenie dostępu sieciowego do portów obsługujących protokoły T3 i IIOP wyłącznie do zaufanych hostów za pomocą firewall.