🔴 【深度分析】严重安全漏洞：CVE-2026-60258

CVSS 评分: 严重（9.8）🔴　　状态: Analyzed　　发布时间: 2026-07-21

🔍 技术细节速览

字段 值
CVE ID CVE-2026-60258
CVSS 评分 9.8 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE 分类 CWE-306
发布时间 2026-07-21
最后更新 2026-07-27
状态 Analyzed
数据来源 secalert_us@oracle.com

⚠️ CVSS 评分：9.8（严重）
CVSS 向量： CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
危害等级： 严重（Critical）
CWE 分类： CWE-306（关键功能缺少身份验证）

漏洞概述

CVE-2026-60258 是 Oracle Fusion Middleware 产品线中 Oracle Coherence 核心组件（Core）存在的一个严重远程未授权漏洞。攻击者无需任何身份认证，仅通过网络 TCP 连接即可利用该漏洞，并成功实现对 Oracle Coherence 的完全接管，导致机密性、完整性和可用性全面丧失。该漏洞影响 Oracle Coherence 多个主流版本，CVSS 3.1 基础评分高达 9.8，属于可直接导致系统沦陷的顶级威胁。

受影响组件与版本

  • 产品： Oracle Coherence（Oracle Fusion Middleware 组件）
  • 受影响版本：
    • 12.2.1.4.0
    • 14.1.1.0.0
    • 14.1.2.0.0
    • 15.1.1.0.0

注意： 以上均为官方确认的受影响版本。Oracle Coherence 广泛应用于企业级缓存、数据网格和分布式计算场景，部署量巨大，影响面广泛。

漏洞原理分析

根据 NVD 公开信息以及关联的 CWE-306（关键功能缺少身份验证），可以推断该漏洞的成因如下：

技术成因

Oracle Coherence 核心组件在处理来自 TCP 端口的特定网络请求时，未对请求来源进行身份验证。攻击者可以通过构造特制的 Coherence 协议数据包（例如集群成员加入、缓存操作指令、序列化对象传输等），直接触发 Coherence 集群内部的高权限操作。

由于 Coherence 本身支持集群间远程对象调用（如 POF 序列化协议），若部分 RPC 端点或管理接口未绑定认证机制，攻击者即可绕过正常安全控制，执行任意代码或修改集群状态。

攻击向量

  • 攻击入口： 网络可达的 TCP 端口（Coherence 默认端口如 8088、9099、系统自定义端口等）。
  • 攻击条件： 无需任何前置权限（PR:N），无需用户交互（UI:N），攻击复杂度低（AC:L）。
  • 利用方式： 远程发送恶意构造的 Coherence 协议报文，触发对象反序列化、命令执行或配置覆写等危险操作。

现有信息局限

NVD 未披露具体的触发细节（如特定接口名称、协议版本或反序列化链）。根据 CWE 归类，基本可以定位为认证缺失导致的核心功能滥用，但具体是利用了 Coherence 的 InvocationService、EntryProcessor 还是其他内部服务，需等待 Oracle 官方安全公告或安全研究人员的进一步分析。

影响评估

评估维度 分析结果
攻击复杂度 低（AC:L）—— 无需复杂条件，仅需网络可达。
所需权限 无（PR:N）—— 无需任何帐户或身份凭证。
用户交互 无（UI:N）—— 攻击完全自动化，无需受害者操作。
攻击向量 网络（AV:N）—— 可远程触发，不依赖物理或本地访问。
影响范围 机密性（H）、完整性（H）、可用性（H）—— 完全丧失。
实际威胁 极高。在暴露于互联网或内网未隔离的 Coherence 环境下，攻击者可立刻获得整个集群控制权，进而横向移动、窃取缓存数据、部署后门。

典型攻击场景：

  • 攻击者扫描公网中暴露的 Coherence 节点（如 8088 端口）。
  • 发送恶意协议包，触发未认证的集群操作，写入恶意类定义。
  • 利用序列化机制执行远程代码，获取操作系统级权限。
  • 控制 Coherence 集群后，窃取缓存中的敏感数据（如会话token、业务数据），或将其作为内网跳板。

修复建议

1. 补丁升级（首要措施）

Oracle 官方已发布安全补丁（对应 2026年7月 CPU）。请立即将 Oracle Coherence 版本升级至以下修复版本之一（以 Oracle 官方公告为准）：

原版本 建议升级版本
12.2.1.4.0 12.2.1.4.0 + Patch 26xxxxx 或 ≥ 12.2.1.4.210719
14.1.1.0.0 14.1.1.0.0 + 最新补丁集
14.1.2.0.0 14.1.2.0.0 + 最新补丁集
15.1.1.0.0 ≥ 15.1.1.0.210719 或官方指定更新

补丁获取方式：

  • 登录 Oracle 支持网站（My Oracle Support）下载 2026 年 7 月关键补丁更新（CPU）。
  • 部署补丁后重新启动 Coherence 集群。

2. 临时缓解措施（补丁部署前）

若无法立即升级，建议采取以下措施降低风险：

措施 操作说明
网络隔离 将 Coherence 监听端口（如8088、9099）限制在可信内部网络，禁止公网直接访问。使用防火墙或安全组仅允许受控客户端 IP 连接。
启用认证 若环境允许，开启 Coherence 的集群成员认证（如配置 SecurityFramework、IdentityAsserter 或集成 LDAP）。
禁用不必要服务 检查 Coherence 配置，关闭无需的 RPC 服务（如 InvocationService、EntryProcessor 对外暴露）。
监控与检测 部署网络入侵检测规则，监控异常 Coherence 协议流量（例如大量陌生 IP 请求、非标准协议变体）。

3. 长期加固

  • 遵循 Oracle 官方安全配置指南，对 Coherence 进行安全加固。
  • 定期审计 Coherence 日志，检查是否有未认证的异常连接。
  • 考虑使用 TLS 加密 Coherence 通信（如启用 SSL/TLS 插槽）。

参考资料

分析总结：
CVE-2026-60258 是典型的关键功能缺少认证漏洞，攻击者无需任何前置条件即可完全接管 Oracle Coherence 集群，属于远程无限制的“核弹级”漏洞。所有受影响的用户应立即采取措施，优先升级补丁，同时配合网络隔离与认证启用进行纵深防御。后续需密切关注安全社区对漏洞利用细节的披露，及时调整防护策略。