🔴 《严重安全漏洞：CVE-2026-60644》

CVSS 评分: 严重（10.0）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

CVE-2026-60644 是 Oracle Fusion Middleware 产品线中 Oracle WebCenter Content 组件（Web Content Management 子组件）的一个严重安全漏洞。该漏洞允许未经身份验证的攻击者通过 HTTP 协议远程访问并完全接管受影响的 Oracle WebCenter Content 系统。由于该漏洞的利用无需任何身份验证或用户交互，且攻击复杂度低，因此其 CVSS 3.1 基础评分高达 10.0（最高分），属于严重级别。

该漏洞的关键特性在于其“范围变更（Scope Change）”：虽然漏洞本身存在于 Oracle WebCenter Content 中，但成功利用后，攻击者可能对与该组件相关联的其他 Oracle 产品造成显著影响，从而扩大攻击面。

影响范围

受此漏洞影响的 Oracle WebCenter Content 支持版本如下：

  • Oracle WebCenter Content 12.2.1.4.0
  • Oracle WebCenter Content 14.1.2.0.0

风险分析

  1. 攻击向量与利用条件：

    • 攻击向量：网络远程攻击，无需本地访问。
    • 攻击复杂度：低（Low），无需特殊条件或复杂步骤。
    • 所需权限：无（None），攻击者无需任何身份验证。
    • 用户交互：无（None），攻击过程无需受害者参与。

  2. 攻击后果：

    • 机密性（Confidentiality）：完全丧失，攻击者可读取系统内所有敏感数据，包括用户凭证、业务文档、配置信息等。
    • 完整性（Integrity）：完全丧失，攻击者可修改或删除任意数据，植入恶意内容或后门。
    • 可用性（Availability）：完全丧失，攻击者可导致服务中断或完全控制服务器资源。

  3. 影响范围：

    • 直接后果：攻击者可完全接管 Oracle WebCenter Content 服务器，获得对该组件的最高控制权。
    • 间接后果：由于存在“范围变更”，攻击者可能利用该漏洞作为跳板，进一步攻击同一网络环境中的其他 Oracle Fusion Middleware 组件或相关系统，导致整体基础设施沦陷。

  4. 修复建议：

    • 立即应用 Oracle 官方在 2026 年 7 月关键补丁更新（CPU）中发布的修复补丁。
    • 在无法立即修补的情况下，建议通过防火墙、Web 应用防火墙（WAF）等网络层控制手段，限制对受影响组件的 HTTP 访问，仅允许可信 IP 或内部网络访问。
    • 审查并监控 Oracle WebCenter Content 的访问日志，排查可疑的未授权访问行为。

🔍 技术细节

字段 值
CVE ID CVE-2026-60644
CVSS 评分 10.0 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接