🔴 《严重安全漏洞：CVE-2026-60547》

CVSS 评分: 严重（9.9）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

该漏洞存在于 Oracle Fusion Middleware 产品中的 Oracle Managed File Transfer 组件（具体组件：MFT Runtime Server）。受影响的受支持版本为 12.2.1.4.0 和 14.1.2.0.0。该漏洞易于利用，允许拥有低权限（low privileged）的攻击者通过 HTTP 协议进行网络访问，从而破坏 Oracle Managed File Transfer 的安全性。

值得注意的是，虽然漏洞本身位于 Oracle Managed File Transfer 中，但成功利用该漏洞的攻击可能会对其他产品造成显著影响（存在作用域变更（scope change））。成功的攻击可导致攻击者完全接管（takeover）Oracle Managed File Transfer 系统。

该漏洞的 CVSS 3.1 基础评分为 9.9（严重），影响范围涵盖机密性（Confidentiality）、完整性（Integrity）和可用性（Availability），均为高（High）影响。

影响范围

  • 受影响产品：Oracle Fusion Middleware 中的 Oracle Managed File Transfer 组件（MFT Runtime Server）
  • 受影响版本：
    • 12.2.1.4.0
    • 14.1.2.0.0

风险分析

  • 攻击复杂度：低（Low），无需特殊条件或复杂攻击链。
  • 攻击路径：网络（Network），通过 HTTP 协议即可发起攻击。
  • 所需权限：低（Low），攻击者仅需拥有系统内最低级别的合法账户权限。
  • 用户交互：无（None），攻击过程无需受害者主动操作。
  • 作用域：已变更（Changed），漏洞影响可能跨越组件边界，波及同一环境中的其他 Oracle 产品。
  • 潜在后果：
    • 机密性泄露：攻击者可读取 Oracle Managed File Transfer 中存储或传输的敏感文件数据。
    • 完整性破坏：攻击者可篡改文件内容或系统配置，导致数据不可信。
    • 可用性丧失：攻击者可导致服务中断或系统完全瘫痪。
    • 完全接管：最严重情况下，攻击者可获得对 Oracle Managed File Transfer 系统的完全控制权，进而可能利用该组件作为跳板，攻击企业内网中的其他系统。

建议：受影响的用户应立即参考 Oracle 官方安全公告（cpujul2026）中的修复补丁，优先对运行上述版本的 MFT Runtime Server 进行升级或应用安全补丁，以降低被远程完全接管的风险。

🔍 技术细节

字段 值
CVE ID CVE-2026-60547
CVSS 评分 9.9 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接