🔴 《严重安全漏洞：CVE-2026-60377》

CVSS 评分: 严重（9.9）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

该漏洞存在于 Oracle Fusion Middleware 产品中的 Service Delivery Platform 组件（具体为 Messaging Enabler 子组件）。受影响的支持版本为 12.2.1.4.0 和 14.1.2.0.0。该漏洞易于利用，攻击者只需具备低权限（low privileged），通过网络访问（network access）并借助 T3 或 IIOP 协议即可对 Service Delivery Platform 进行攻击。

值得注意的是，虽然漏洞位于 Service Delivery Platform 中，但成功利用后可能显著影响其他产品（scope change，即影响范围发生改变）。攻击成功后，可能导致以下后果：

  • 未经授权地创建、删除或修改关键数据，或所有 Service Delivery Platform 可访问的数据；
  • 未经授权地访问关键数据，或完全访问所有 Service Delivery Platform 可访问的数据；
  • 未经授权地导致 Service Delivery Platform 部分拒绝服务（partial denial of service，partial DOS）。

该漏洞的 CVSS 3.1 基础评分为 9.9，属于严重级别，影响机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）。

影响范围

  • 受影响产品：Oracle Fusion Middleware 中的 Service Delivery Platform 组件（Messaging Enabler）
  • 受影响版本：
    • 12.2.1.4.0
    • 14.1.2.0.0
  • 攻击条件：需要低权限账户，通过网络访问，利用 T3 或 IIOP 协议进行攻击

风险分析

该漏洞风险极高（CVSS 9.9），主要风险包括：

  1. 数据泄露：攻击者可未经授权访问关键数据，甚至完全获取所有 Service Delivery Platform 可访问的数据，导致严重的信息泄露。
  2. 数据篡改：攻击者能够创建、删除或修改关键数据，可能破坏业务逻辑、篡改配置或植入恶意数据。
  3. 服务可用性影响：攻击者可造成部分拒绝服务，影响 Service Delivery Platform 的正常运行，可能导致业务中断或服务质量下降。
  4. 横向影响：由于 scope change 的存在，攻击可能进一步影响其他关联产品，扩大攻击面。

建议受影响的用户尽快根据 Oracle 官方安全公告（cpujul2026）中的指导进行补丁更新或采取缓解措施，例如限制 T3/IIOP 协议的访问、实施网络分段或升级至不受影响的版本。

🔍 技术细节

字段 值
CVE ID CVE-2026-60377
CVSS 评分 9.9 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接