🔴 《严重安全漏洞：CVE-2026-60215》

CVSS 评分: 严重（9.8）　　状态: Received　　发布时间: 2026-07-21

漏洞简介

该漏洞存在于 Oracle Fusion Middleware 产品中的 Oracle Coherence 组件（Core 核心组件）中。攻击者无需任何身份验证，仅通过网络访问（TCP 协议）即可利用该漏洞，实现对 Oracle Coherence 的完全接管（takeover）。该漏洞的 CVSS 3.1 基础评分为 9.8（严重），属于极易被利用的远程攻击漏洞。

受影响的版本包括：

  • Oracle Coherence 12.2.1.4.0
  • Oracle Coherence 14.1.1.0.0
  • Oracle Coherence 14.1.2.0.0
  • Oracle Coherence 15.1.1.0.0

影响范围

该漏洞影响 Oracle Fusion Middleware 套件中的 Oracle Coherence 组件。Oracle Coherence 是一个用于构建分布式缓存和数据网格的中间件产品，广泛应用于企业级 Java 应用、实时数据处理、会话管理、交易处理等场景。由于该漏洞无需任何权限（PR:N）且无需用户交互（UI:N），任何能够通过 TCP 协议访问受影响 Coherence 服务的攻击者都可以发起攻击。

风险分析

  • 攻击复杂度低：漏洞利用条件简单，无需特殊配置或用户交互，攻击者仅需通过 TCP 网络连接即可触发。
  • 影响严重：成功利用该漏洞可导致攻击者完全接管 Oracle Coherence 服务，进而可能控制整个数据网格或缓存集群。由于 Coherence 通常承载关键业务数据（如用户会话、交易记录、配置信息等），攻击者可以：
    • 机密性（Confidentiality）：窃取所有缓存或网格中的敏感数据。
    • 完整性（Integrity）：篡改或伪造缓存数据，导致业务逻辑错误或数据污染。
    • 可用性（Availability）：破坏服务运行，导致分布式系统崩溃或拒绝服务（DoS）。
  • 潜在后果：由于 Coherence 常作为企业应用的核心数据层，一旦被攻破，攻击者可能进一步横向移动至其他依赖该数据网格的系统，造成更大范围的业务中断和数据泄露。建议受影响的用户立即根据 Oracle 官方安全公告（cpujul2026）应用补丁或采取缓解措施。

🔍 技术细节

字段 值
CVE ID CVE-2026-60215
CVSS 评分 9.8 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
发布时间 2026-07-21
最后更新 2026-07-21
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接