Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-60366 |
| Fabricante | Oracle |
| Producto | Oracle Platform Security for Java |
| Fecha de publicación | 2026-07-22 |
| Severidad | CRÍTICA |
| CVSS 3.1 | 10.0 |
| Puntuación de prioridad | 230 |
| Acción recomendada | Aplicar el parche de Oracle Critical Patch Update de julio de 2026 |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-60366 reside en el componente Centralized Thirdparty Jars de Oracle Platform Security for Java, un producto de Oracle Fusion Middleware. Se trata de una falla fácilmente explotable que permite a un atacante remoto no autenticado comprometer el sistema mediante peticiones HTTP. El alcance del ataque trasciende el producto inicial, afectando a otros productos del ecosistema (cambio de alcance). Un ataque exitoso puede resultar en la toma de control total de Oracle Platform Security for Java, comprometiendo la confidencialidad, integridad y disponibilidad de los datos.
Productos y versiones vulnerables
Según las fuentes oficiales, las versiones afectadas son:
| Producto | Versión | Estado |
|---|---|---|
| Oracle Platform Security for Java | 12.2.1.4.0 | Afectada |
| Oracle Platform Security for Java | 14.1.2.0.0 | Afectada |
No se han publicado otras versiones afectadas en las fuentes consultadas.
Impacto y riesgo
El impacto es máximo en los tres pilares de seguridad: confidencialidad, integridad y disponibilidad. La puntuación CVSS 10.0 refleja que no se requiere autenticación, el ataque es de baja complejidad y no necesita interacción del usuario. Además, el cambio de alcance (scope change) implica que otros productos conectados también pueden verse comprometidos. Esto convierte a CVE-2026-60366 en una de las vulnerabilidades más críticas del año.
Estado de explotación conocida
No publicado por las fuentes consultadas. No se dispone de información sobre explotación activa en el momento de la publicación de este análisis.
Indicadores de compromiso (IOC)
No publicado por las fuentes consultadas. No se han extraído IOC estructurados de las fuentes oficiales.
Cómo comprobar si estás afectado
Para determinar si tu instalación está afectada, verifica la versión de Oracle Platform Security for Java desplegada. Si utilizas las versiones 12.2.1.4.0 o 14.1.2.0.0, estás en riesgo. Consulta el Oracle Critical Patch Update de julio de 2026 para obtener los parches correspondientes. No se proporcionan comandos específicos en las fuentes oficiales.
Mitigación y actualización
Oracle ha publicado un parche en su Critical Patch Update de julio de 2026. La acción recomendada es:
- Revisar el aviso oficial del fabricante.
- Aplicar la actualización o mitigación publicada por Oracle.
No se han descrito mitigaciones alternativas en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar todas las instancias de Oracle Platform Security for Java en tu organización.
- ☐ Verificar las versiones instaladas (12.2.1.4.0 y 14.1.2.0.0 son vulnerables).
- ☐ Descargar e instalar el parche del Oracle Critical Patch Update de julio de 2026.
- ☐ Validar que la actualización se ha aplicado correctamente.
- ☐ Monitorear logs en busca de actividad anómala relacionada con el componente Centralized Thirdparty Jars.
- ☐ Revisar la configuración de red para limitar el acceso HTTP no autenticado a los servicios afectados.
Preguntas frecuentes
¿Qué es CVE-2026-60366?
Es una vulnerabilidad crítica en Oracle Platform Security for Java que permite a un atacante no autenticado tomar el control del producto mediante HTTP.
¿Qué versiones están afectadas?
Las versiones 12.2.1.4.0 y 14.1.2.0.0 de Oracle Platform Security for Java.
¿Cuál es la puntuación CVSS?
CVSS 3.1 Base Score 10.0 (CRÍTICA).
¿Hay parche disponible?
Sí, Oracle ha publicado un parche en su Critical Patch Update de julio de 2026.
¿Se requiere autenticación para explotar la vulnerabilidad?
No, el atacante no necesita autenticación ni interacción del usuario.
¿Dónde puedo encontrar más información?
En el aviso oficial de Oracle y en la entrada de NVD para CVE-2026-60366.