🔴 《严重安全漏洞：CVE-2026-60627》

CVSS 评分: 严重（9.9）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

该漏洞存在于 Oracle JD Edwards 产品家族的 JD Edwards EnterpriseOne Tools 组件中，具体涉及 安装安全（Installation Security） 子组件。受影响的受支持版本为 9.2.26.3。

该漏洞属于 易于利用（easily exploitable） 的类型。攻击者只需具备 低权限（low privileged），通过网络通过 HTTP 协议即可对 JD Edwards EnterpriseOne Tools 进行攻击。值得注意的是，虽然漏洞位于 JD Edwards EnterpriseOne Tools 组件中，但成功利用该漏洞的攻击可能 显著影响其他产品（scope change），即产生跨组件的安全影响。

成功利用此漏洞的攻击者能够 完全接管（takeover） JD Edwards EnterpriseOne Tools 组件。根据 CVSS 3.1 评分，该漏洞的 基础分数为 9.9（严重），在 机密性（Confidentiality）、完整性（Integrity）和可用性（Availability） 方面均造成 高（High） 影响。

影响范围

  • 受影响产品：Oracle JD Edwards EnterpriseOne Tools
  • 受影响版本：9.2.26.3
  • 攻击条件：需要网络访问（HTTP），且攻击者需拥有低权限账户
  • 攻击复杂度：低（无需特殊条件或用户交互）

风险分析

  1. 攻击后果：

    • 攻击者可完全控制 JD Edwards EnterpriseOne Tools 组件，导致系统被接管。
    • 由于存在 范围变更（scope change），攻击可能进一步蔓延至其他关联产品，扩大破坏面。
    • 机密性、完整性和可用性均面临严重威胁，可能导致敏感数据泄露、系统配置被篡改或服务中断。

  2. 利用难度：

    • 攻击者仅需低权限账户和网络访问能力，无需用户交互或复杂操作，利用门槛极低。
    • 该漏洞的 CVSS 评分高达 9.9，属于 最高风险等级，应优先修复。

  3. 建议措施：

    • 立即将 JD Edwards EnterpriseOne Tools 升级至 9.2.26.3 以上版本（参考 Oracle 官方安全公告）。
    • 限制低权限账户的网络访问范围，尤其是对 HTTP 服务的访问。
    • 监控系统日志，检查是否存在异常的低权限账户活动或未授权的配置变更。

🔍 技术细节

字段 值
CVE ID CVE-2026-60627
CVSS 评分 9.9 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接