حمله به اوراکل: پروب باگ بحرانی EBS و سه آسیب‌پذیری پشت زیرودی PeopleSoft

باگ بحرانی Oracle EBS: CVE-2026-101767

این آسیب‌پذیری یک تزریق SQL بدون نیاز به احراز هویت در سرولت Thin Client Framework در Oracle E-Business Suite است که به اجرای کد از راه دور می‌رسد. شرکت Defused Cyber اعلام کرده سامانه‌های طعمه‌اش صبح ۲۷ اکتبر تلاش‌هایی «اکتشافی» برای سوءاستفاده از آن ثبت کرده‌اند. The Register این موارد را پروب می‌داند و نه نفوذ تأییدشده.

به گفته Horizon3 که باگ را کشف و به اوراکل گزارش کرده، مهاجم با ارسال درخواست دستکاری‌شده می‌تواند SQL را با سطح دسترسی کاربر APPS پایگاه داده اجرا کند و در ادامه به اجرای دستور سیستم‌عامل با دسترسی حساب برنامه برسد. بسته به نحوه استقرار، داده‌های مالی، حقوق و دستمزد، منابع انسانی و تدارکات در معرض خطر است. اوراکل این باگ را در بسته وصله بحرانی اکتبر ۲۰۲۶ برطرف کرده است. به گفته The Register، اوراکل تا زمان انتشار به پرسش‌ها درباره سوءاستفاده موفق پاسخ نداده بود.

زیرودی PeopleSoft در واقع سه باگ است

گروه ShinyHunters (با ردیابی گوگل به نام UNC6240) از آسیب‌پذیری CVE-2026-35273 در Oracle PeopleSoft به‌صورت زیرودی سوءاستفاده کرد. این گروه در ژوئن به The Register گفته بود بیش از ۱۰۰ سازمان را هک کرده است و Mandiant هم سوءاستفاده زیرودی را تأیید کرد؛ هدف اصلی در آن موج، مؤسسات آموزشی بودند. در اواخر سپتامبر Mandiant گزارش داد دامنه هدف‌ها به آموزش عالی، فناوری، خدمات فناوری اطلاعات، سلامت، کشاورزی، حمل‌ونقل و دولت گسترش یافته و گروه روی ده‌ها سیستم در سراسر جهان وب‌شل نصب کرده است.

اکنون پژوهشگران ZDI (شرکت TrendAI) که این مشکلات را ۱۰ ژوئن به اوراکل گزارش کرده بودند می‌گویند در واقع سه باگ مستقل در اجزای مختلف PeopleSoft وجود دارد و هرکدام باید شناسه CVE جدا بگیرد. به گفته آن‌ها با اوراکل برای تخصیص شناسه‌های جداگانه هماهنگ می‌کنند.

این سه باگ عبارت‌اند از: ۱) SSRF در PeopleSoft Integration Gateway که نقطه ورود اولیه می‌دهد و درخواست‌ها را به نقاط آسیب‌پذیر PSEMHUB می‌رساند؛ ۲) کنترل بیرونی مسیر فایل در هندلر ExecuteProcessActivityCommand در PSEMHUB که امکان نوشتن وب‌شل در مسیر دلخواه را می‌دهد؛ ۳) deserialization داده نامعتبر در PSEMHUB، که با کاشتن فایل XML مخرب و راه‌اندازی مجدد سرویس فعال می‌شود.

دور زدن WAF و ماندگاری مهاجم

به گزارش SecurityWeek که گزارش Mandiant و GTIG را بازتاب داده، گروه در موج تازه اکسپلویت را طوری تغییر داد که قواعد WAF را دور بزند. در این روش کاراکتر P در مسیر PSEMHUB به شکل کدگذاری‌شده %50 ارسال می‌شود؛ بسیاری از قواعد WAF و reverse proxy مسیر را پیش از رمزگشایی بررسی می‌کنند، اما سرور PeopleSoft درخواست را رمزگشایی و به سرولت آسیب‌پذیر هدایت می‌کند. مهاجمان همچنین از بک‌دور SideEye، ابزار تونل‌زنی Neo-reGeorg و MeshCentral برای حرکت جانبی و کنترل از راه دور استفاده کرده‌اند.

گوگل توصیه می‌کند سازمان‌های آسیب‌دیده برای اخاذی آماده باشند و انتشار عمومی داده‌های سرقت‌شده را رصد کنند، چون این گروه الگوی تهدید به افشا در سایت نشت داده دارد.

چرا مهم است

برای مدیران سیستم و تیم‌های امنیت، پیام اصلی روشن است: وصله کردن لازم است اما کافی نیست. اگر سامانه‌ای پیش از نصب وصله هدف قرار گرفته و مهاجم وب‌شل کاشته باشد، به‌روزرسانی او را بیرون نمی‌اندازد؛ باید دنبال نشانه‌های نفوذ گشت. برای برنامه‌نویسان هم این ماجرا مثال آموزنده‌ای است از زنجیره شدن چند باگ ظاهراً متوسط (SSRF، نوشتن فایل و deserialization) و از اینکه فهرست‌های مجاز مبتنی بر «میزبان مورد اعتماد» (مثل پذیرفتن localhost به‌صورت پیش‌فرض) با وجود SSRF بی‌اثر می‌شود.

اگر سازمان یا دانشگاهی در ایران از EBS یا PeopleSoft استفاده می‌کند، دسترسی به وصله‌ها و مستندات رسمی اوراکل ممکن است به‌دلیل تحریم‌ها دشوار باشد. این موضوع ریسک ماندن روی نسخه‌های وصله‌نشده را بالا می‌برد و بهتر است دسترسی مستقیم این سامانه‌ها به اینترنت محدود و لاگ‌ها پایش شود.