Oracle gặp 'tứ đại nạn' đúng dịp kết thúc Tháng Nhận thức An ninh mạng

Oracle vừa khép lại Tháng Nhận thức An ninh mạng bằng một loạt sự cố bảo mật chồng chất: kẻ tấn công đang dò tìm lỗ hổng nghiêm trọng trong E-Business Suite (EBS), còn sự cố zero-day trên PeopleSoft – vốn đã bị nhóm tội phạm mạng ShinyHunters khai thác từ tháng 5 – hóa ra không phải một mà là ba lỗ hổng khác nhau có thể kết hợp với nhau để đạt được khả năng thực thi mã từ xa (RCE).

Lỗ hổng EBS bị dò tìm ngay sau khi vá

CVE-2026-101767 là lỗ hổng SQL injection nghiêm trọng, không yêu cầu xác thực, nằm trong Oracle E-Business Suite và có thể dẫn đến RCE. Lỗ hổng này ảnh hưởng đến servlet Thin Client Framework của EBS.

Theo nhóm nghiên cứu Defused Cyber, các hệ thống mồi (decoy) của họ đã ghi nhận các nỗ lực khai thác thăm dò nhắm vào lỗ hổng này vào sáng ngày 27/10 – tức chỉ vài ngày sau khi Oracle phát hành bản vá trong đợt cập nhật tháng 10.

Các nhà nghiên cứu của Horizon3 đã phát hiện và báo cáo lỗ hổng cho Oracle. Theo họ, kẻ tấn công có thể gửi một yêu cầu được chế tác đặc biệt đến servlet bị ảnh hưởng để thực thi SQL với quyền của người dùng cơ sở dữ liệu APPS. Chuỗi tấn công này còn cho phép thực thi lệnh trên hệ điều hành với quyền của tài khoản ứng dụng EBS.

"Tùy thuộc vào cách triển khai, dữ liệu bị ảnh hưởng có thể bao gồm hồ sơ tài chính, lương, nhân sự và mua sắm", nhóm Horizon3 cho biết.

Đây là mối lo thực sự với các doanh nghiệp Việt Nam đang vận hành EBS – đặc biệt là các tổ chức lớn trong lĩnh vực tài chính, sản xuất và bán lẻ, nơi hệ thống ERP của Oracle vẫn được sử dụng rộng rãi để quản lý nghiệp vụ cốt lõi.

PeopleSoft: một mã CVE, nhưng thực chất là ba lỗ hổng

Diễn biến thứ hai liên quan đến chiến dịch tấn công của ShinyHunters vào Oracle PeopleSoft. Đầu tháng 6, nhóm này tuyên bố đã xâm nhập hơn 100 tổ chức thông qua một lỗ hổng zero-day được định danh là CVE-2026-35273. Mandiant của Google sau đó xác nhận nhóm này đã khai thác lỗ hổng như zero-day, chủ yếu nhắm vào các trường học và lĩnh vực giáo dục.

Đến cuối tháng 9, Mandiant cho biết ShinyHunters đã mở rộng mục tiêu đáng kể, "cài đặt web shell trên hàng chục hệ thống trên toàn cầu, trải rộng từ giáo dục đại học, công nghệ, dịch vụ CNTT, y tế, nông nghiệp, giao thông đến chính phủ".

Tuy nhiên, theo nhà nghiên cứu Bobby Gould thuộc Zero Day Initiative (ZDI) của TrendAI, thực chất có ba lỗ hổng riêng biệt nằm ở nhiều thành phần khác nhau của PeopleSoft, và mỗi lỗ hổng cần được cấp một mã CVE riêng thay vì gộp chung dưới CVE-2026-35273.

• Thứ nhất, lỗ hổng Server-Side Request Forgery (SSRF) trong PeopleSoft Integration Gateway (PSIGW), giúp kẻ tấn công có được chỗ đứng trong ứng dụng PeopleSoft. Oracle đã bổ sung phương thức "validateClient" vào tháng 6 để cho phép quản trị viên hạn chế truy cập một số chức năng nhất định, nhưng lỗ hổng SSRF vẫn cho phép kẻ tấn công gửi các yêu cầu đáp ứng điều kiện kiểm tra để truy cập vào các điểm cuối dễ bị RCE. Do Oracle mặc định cho phép localhost, lỗ hổng SSRF trong PSIGW vô tình mở đúng đường truy cập đó.

• Thứ hai, lỗ hổng kiểm soát đường dẫn tệp bên ngoài trong trình xử lý ExecuteProcessActivityCommand của PSEMHUB (PeopleSoft Environment Management Hub). Trình xử lý này được thiết kế để cho phép máy khách từ xa ghi nhật ký vào hệ thống tệp của máy chủ PeopleSoft, nhưng không kiểm tra yêu cầu đúng cách – cho phép kẻ tấn công ghi web shell vào một đường dẫn tệp và đạt được RCE.

• Thứ ba, cũng trong PSEMHUB, là lỗi deserialization dữ liệu không đáng tin cậy. Kẻ tấn công có thể lợi dụng lỗi ghi tệp để cài một tệp XML độc hại vào thư mục lưu cấu hình môi trường, rồi chờ PSEMHUB khởi tạo – chẳng hạn sau khi dịch vụ hoặc hệ thống khởi động lại – để kích hoạt quá trình deserialization và có khả năng đạt được RCE.

"Kẻ tấn công có thể kết hợp các lỗ hổng này để xâm nhập các phiên bản PeopleSoft bị ảnh hưởng", Gould cảnh báo.

Bài học cho doanh nghiệp: vá thôi là chưa đủ

Điều đáng lưu ý là việc vá lỗi đơn thuần có thể không loại bỏ được kẻ tấn công khỏi những hệ thống đã bị xâm nhập, đặc biệt nếu chúng đã cài đặt web shell. Với các tổ chức tại Việt Nam sử dụng PeopleSoft hay EBS, đây là lời nhắc nhở về việc cần rà soát toàn diện hệ thống, không chỉ áp dụng bản vá mà còn kiểm tra dấu hiệu xâm nhập, log bất thường và các tệp lạ trên máy chủ.

Những sự cố liên tiếp này cũng cho thấy áp lực ngày càng lớn đối với các nhà cung cấp phần mềm doanh nghiệp trong việc minh bạch hóa thông tin lỗ hổng – việc gộp nhiều lỗi vào một mã CVE có thể khiến khách hàng đánh giá thấp mức độ nghiêm trọng và phạm vi ảnh hưởng thực sự của sự cố.