🟠 《高危安全漏洞：CVE-2026-60368》

CVSS 评分: 高危（8.8）　　状态: Received　　发布时间: 2026-07-22

漏洞简介

CVE-2026-60368 是 Oracle Fusion Middleware 产品线中 Oracle Platform Security for Java 组件的一个安全漏洞，具体位于 Centralized Thirdparty Jars 子组件中。该漏洞允许拥有低权限的攻击者通过网络访问，利用 SOAP 协议对目标系统进行攻击。攻击成功后，攻击者可以完全接管 Oracle Platform Security for Java，导致机密性（Confidentiality）、完整性（Integrity）和可用性（Availability）均受到严重影响。

该漏洞的 CVSS 3.1 基础评分为 8.8，属于高危漏洞。攻击复杂度低，无需用户交互，且攻击者仅需低权限即可触发，但攻击范围仅限于同一网络段（非远程未授权攻击）。

影响范围

受影响的 Oracle Platform Security for Java 版本如下：

  • 12.2.1.4.0
  • 14.1.2.0.0

以上版本均属于 Oracle Fusion Middleware 的受支持版本。如果您的系统正在运行上述版本，且使用了 Centralized Thirdparty Jars 组件，则可能受到此漏洞影响。

风险分析

  • 攻击路径与条件：攻击者需要拥有网络访问能力，并能够通过 SOAP 协议与受影响组件通信。攻击者仅需低权限（如普通用户账户）即可发起攻击，无需高权限或特殊系统访问。
  • 攻击后果：成功利用此漏洞可导致攻击者完全接管 Oracle Platform Security for Java 组件。这意味着攻击者能够：
    • 读取、修改或删除该组件管理的所有安全敏感数据（如认证令牌、权限配置等）。
    • 破坏该组件的正常运行，导致服务中断或拒绝服务。
    • 利用被接管的组件作为跳板，进一步攻击同一网络环境中的其他 Oracle Fusion Middleware 组件或后端系统。
  • 影响范围：由于该漏洞影响的是核心安全组件，一旦被攻破，整个基于 Oracle Platform Security for Java 构建的应用安全体系将面临失效风险。企业级应用（如身份管理、单点登录、访问控制等）可能完全暴露在攻击者面前，导致数据泄露、权限提升或业务中断。

建议：受影响的用户应立即参考 Oracle 官方安全公告（https://www.oracle.com/security-alerts/cpujul2026.html）中的修复方案，尽快应用补丁或采取临时缓解措施（如限制 SOAP 接口的访问来源、加强网络访问控制等）。

🔍 技术细节

字段 值
CVE ID CVE-2026-60368
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
发布时间 2026-07-22
最后更新 2026-07-22
状态 Received
数据来源 secalert_us@oracle.com

🔗 参考链接