Oracle đối mặt nhiều lỗ hổng bảo mật cuối tháng nâng cao nhận thức
"Oracle is addressing multiple vulnerabilities. Attackers are probing CVE-2026-101767, a critical SQL injection flaw in Oracle E-Business Suite leading to RCE. Analysis of a ShinyHunters zero-day (CVE-2026-35273) in PeopleSoft reveals three distinct vulnerabilities – SSRF, file path manipulation, and deserialization – that can be chained for RCE. Patching alone may not fully remediate compromised systems."
Các lỗ hổng SQL injection và RCE có thể dẫn đến xâm nhập hệ thống nghiêm trọng và đánh cắp dữ liệu.
Các tổ chức sử dụng Oracle E-Business Suite và PeopleSoft, đặc biệt là trong các ngành tài chính, giáo dục và chính phủ, có thể bị ảnh hưởng bởi các lỗ hổng này. Việc khắc phục cần đánh giá rủi ro và vá lỗi kịp thời.
Oracle đang xử lý nhiều lỗ hổng bảo mật, trong đó có CVE-2026-101767, một lỗi SQL injection nghiêm trọng trong Oracle E-Business Suite dẫn đến remote code execution (RCE). Phân tích lỗ hổng zero-day (CVE-2026-35273) trong PeopleSoft do ShinyHunters khai thác cho thấy ba lỗ hổng riêng biệt – server-side request forgery (SSRF), thao túng đường dẫn file và deserialization – có thể kết hợp để đạt được RCE.
Horizon3 đã phát hiện và báo cáo CVE-2026-101767 cho Oracle, và bản vá đã được phát hành đầu tháng 10. Lỗ hổng này cho phép kẻ tấn công thực thi SQL với quyền của người dùng APPS, thậm chí thực thi lệnh hệ điều hành với quyền của tài khoản ứng dụng EBS. Điều này có thể ảnh hưởng đến dữ liệu tài chính, nhân sự và mua sắm.
ShinyHunters đã khai thác CVE-2026-35273 từ tháng 5, chủ yếu nhắm vào các trường học và tổ chức giáo dục. Mandiant xác nhận việc đánh cắp dữ liệu và mở rộng phạm vi tấn công, triển khai web shells trên hàng chục hệ thống trên toàn cầu.
Bobby Gould từ ZDI chỉ ra rằng CVE-2026-35273 thực chất bao gồm ba lỗ hổng riêng biệt: SSRF trong PeopleSoft Integration Gateway (PSIGW), thao túng đường dẫn file trong PSEMHUB và deserialization dữ liệu không tin cậy, cũng trong PSEMHUB. Kẻ tấn công có thể kết hợp các lỗ hổng này để xâm nhập hệ thống PeopleSoft. Việc vá lỗi có thể không loại bỏ hoàn toàn kẻ tấn công nếu chúng đã cài đặt web shells.
Câu hỏi thường gặp
CVE-2026-101767 là gì?
CVE-2026-101767 là một lỗ hổng SQL injection nghiêm trọng trong Oracle E-Business Suite, cho phép kẻ tấn công thực thi SQL với quyền của người dùng APPS và có thể thực thi lệnh hệ điều hành.
ShinyHunters đã khai thác lỗ hổng nào trong PeopleSoft?
ShinyHunters đã khai thác lỗ hổng zero-day CVE-2026-35273 trong PeopleSoft, nhưng lỗ hổng này thực chất bao gồm ba lỗ hổng riêng biệt: SSRF, thao túng đường dẫn file và deserialization.
Việc vá lỗi có đủ để bảo vệ hệ thống khỏi các cuộc tấn công này không?
Việc vá lỗi là cần thiết, nhưng có thể không đủ để loại bỏ hoàn toàn kẻ tấn công nếu chúng đã cài đặt web shells trên hệ thống.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc phát hiện ba lỗ hổng trong một lỗ hổng đã được vá (CVE-2026-35273) cho thấy sự phức tạp trong việc bảo mật các hệ thống lớn như PeopleSoft. Các doanh nghiệp Việt Nam sử dụng Oracle E-Business Suite hoặc PeopleSoft cần kiểm tra kỹ lưỡng việc vá lỗi và giám sát hệ thống để phát hiện các dấu hiệu xâm nhập. Điều đáng chú ý là việc vá lỗi có thể không đủ, đặc biệt nếu kẻ tấn công đã cài đặt web shells.