🔴 《严重安全漏洞：CVE-2026-60402》

CVSS 评分: 严重（9.9）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

该漏洞存在于 Oracle TimesTen 内存数据库（TimesTen In-Memory Database）产品中，具体位于其 Kubernetes Operator 组件。受影响的版本为 26.1.1.1.0。该漏洞易于利用，攻击者只需具备低权限（Low Privileged），通过网络访问（Network Access）并借助 HTTPS 协议即可对 TimesTen 内存数据库进行攻击。值得注意的是，虽然漏洞本身位于 TimesTen 内存数据库中，但成功利用后可能对其他产品造成显著影响（Scope Change）。攻击者成功利用此漏洞可完全接管（Takeover）TimesTen 内存数据库，导致机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）均受到严重破坏。

影响范围

  • 受影响产品：Oracle TimesTen In-Memory Database
  • 受影响组件：Kubernetes Operator
  • 受影响版本：26.1.1.1.0
  • CVSS 3.1 基础评分：9.9（严重）
  • 攻击向量：网络攻击（AV:N）
  • 攻击复杂度：低（AC:L）
  • 所需权限：低（PR:L）
  • 用户交互：无（UI:N）
  • 影响范围：已变更（S:C），即漏洞可能影响其他产品

风险分析

该漏洞风险等级极高（CVSS 9.9），主要风险包括：

  1. 完全接管数据库：攻击者可在无需用户交互的情况下，利用低权限账户通过网络远程攻击，最终完全控制 TimesTen 内存数据库实例。
  2. 横向扩散风险：由于影响范围已变更（Scope Change），攻击者可能利用该漏洞作为跳板，进一步攻击与 TimesTen 数据库相关联的其他 Kubernetes 组件或服务，扩大攻击面。
  3. 数据泄露与破坏：成功利用后，攻击者可读取、修改或删除数据库中的敏感数据，并可能导致服务中断，对业务连续性造成严重威胁。
  4. 低门槛利用：攻击者仅需低权限账户（如普通用户或服务账户）即可发起攻击，无需高权限凭证，这使得漏洞更容易被利用。

建议受影响版本的用户立即参考 Oracle 官方安全公告（https://www.oracle.com/security-alerts/cpujul2026.html）中的修复方案，及时应用安全补丁或采取缓解措施。

🔍 技术细节

字段 值
CVE ID CVE-2026-60402
CVSS 评分 9.9 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接