🔴 【深度分析】严重安全漏洞：CVE-2026-60246

CVSS 评分: 严重（9.8）🔴　　状态: Analyzed　　发布时间: 2026-07-21

🔍 技术细节速览

字段 值
CVE ID CVE-2026-60246
CVSS 评分 9.8 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE 分类 CWE-306
发布时间 2026-07-21
最后更新 2026-07-24
状态 Analyzed
数据来源 secalert_us@oracle.com

CVSS 评分：9.8（严重）
CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
危害等级：紧急

漏洞概述

CVE-2026-60246 是 Oracle Fusion Middleware 中 Oracle Coherence 产品核心组件（Core）的一个严重漏洞。攻击者无需身份认证，仅通过网络（TCP）即可利用该漏洞，实现对 Oracle Coherence 服务的完全接管。该漏洞影响包括机密性、完整性和可用性在内的全部安全属性，且攻击复杂度低，无需用户交互，因此 CVSS 评分高达 9.8。这是典型的“零日级”远程代码执行漏洞，一旦被成功利用，可能导致企业级分布式缓存和计算环境被彻底控制。

受影响组件与版本

  • 产品：Oracle Coherence（Oracle Fusion Middleware 组件）
  • 受影响版本：
    • 12.2.1.4.0
    • 14.1.1.0.0
    • 14.1.2.0.0
    • 15.1.1.0.0

这些版本覆盖了 Oracle Coherence 的多个主流分支，包括较新的 15.x 系列，说明漏洞影响范围广，且可能长期存在于代码中。

漏洞原理分析

根据 NVD 提供的 CWE-306（关键功能缺少认证）分类，该漏洞的成因是 Oracle Coherence 核心组件在处理某些 TCP 网络请求时，未对特定关键操作进行身份验证或授权检查。结合 CVSS 向量中 AV:N / AC:L / PR:N / UI:N 的特征，可以推断：

  1. 攻击向量（网络）：漏洞可通过 Coherence 监听的 TCP 端口（默认通常为 7574 或其他自定义端口）远程触发。
  2. 攻击复杂度低：无需特殊条件或绕过复杂机制，预期攻击者只需发送精心构造的 TCP 数据包即可触发。
  3. 无需权限与用户交互：表明被攻击的接口完全开放，无任何认证前置要求，也无需受害用户进行点击或操作。

从逻辑上推测，Coherence 的核心组件可能暴露了一些管理或集群通信接口（例如集群成员加入、配置下发、分布式对象操作等），而这些接口默认缺失了必要的认证校验。攻击者可以利用这些接口直接执行任意命令、修改集群配置、或注入恶意对象，最终导致 Coherence 进程被完全控制（全量后果：C:H/I:H/A:H）。

现有信息不足以确认具体利用细节，但基于常见 Java 中间件漏洞模式（如反序列化、未授权 JMX、RMI 接口滥用等），可推测该漏洞很可能涉及不安全的 Java 反序列化或远程方法调用（RMI）缺少认证。

影响评估

  • 攻击复杂度：极低（AC:L）——攻击者仅需具备网络访问能力，无需任何技巧。
  • 利用条件：被攻击主机需运行受影响版本的 Oracle Coherence 服务，且开放相关 TCP 端口（默认或自定义）。
  • 所需权限：无（PR:N）——攻击完全匿名。
  • 潜在后果：
    • 服务完全接管：攻击者可获得 Coherence 进程的 JVM 级别控制权，进而执行任意 Java 代码。
    • 横向移动：Coherence 通常部署在内部网络，被攻破后可作为跳板攻击其他依赖该缓存集群的应用。
    • 数据泄露与篡改：Coherence 常作为高速缓存层存储敏感业务数据（如会话、支付信息），漏洞可导致这些数据被窃取或被篡改。
    • 拒绝服务：攻击者可破坏集群一致性，引发服务中断。

风险等级：紧急——建议在补丁发布后立即部署，临时缓解措施可能不足以应对全量攻击面。

修复建议

官方补丁

  • 访问 Oracle 关键补丁更新（CPU）页面，下载针对受影响版本的补丁（预计 2026 年 7 月或后续 CPU 中包含）。
  • 参考 Oracle 安全公告：https://www.oracle.com/security-alerts/ （具体链接以官方发布为准）。

临时缓解措施

若无法立即应用补丁，可采取以下措施降低风险：

  1. 网络隔离：限制 Coherence 服务端口（默认 TCP 7574）仅允许受信任的主机访问，避免暴露在互联网或不可信网络。
  2. 启用认证：在 Coherence 配置中开启集群通信的认证功能（例如使用 TangosolCoherence 的 security 属性，或配置 JAAS 认证）。
  3. 禁用不必要功能：停止不需要的 Coherence 扩展功能，如 Coherence*Extend 或 Caching 服务中未使用的远程接口。
  4. 升级到不受影响版本：若业务允许，迁移至最新版 Coherence（例如 15.1.1.0.0 之后的更高版本），需确认新版本已修复此漏洞。

注意：临时措施仅能降低攻击面，无法完全规避漏洞，请尽快安排补丁上线。

参考资料

总结：CVE-2026-60246 是 Oracle Coherence 的高危远程接管漏洞，利用门槛极低，后果严重。所有受影响版本的用户应立即启动应急响应流程，优先应用补丁并实施网络隔离。同时建议安全团队关注后续细节披露，必要时进行渗透测试确认自身环境的安全性。