ثغرة Oracle PeopleSoft التي استغلتها ShinyHunters تتكون من ثلاث ثغرات متسلسلة

أوضح فريق Zero Day Initiative أنهم أبلغوا شركة Oracle عن ثلاث نقاط ضعف متميزة موزعة على مكونين في PeopleSoft، وهم يعملون حالياً مع الشركة لتعيين معرف CVE منفصل لكل منها. وحتى هذا الأسبوع، لا يزال معرف شهر يونيو هو الوحيد المسجل.

تؤثر الثغرة CVE-2026-35273 على إصدارات PeopleSoft Enterprise PeopleTools 8.61 و8.62، وتحمل درجة خطورة 9.8 وفقاً لمقياس CVSS، مما يسمح لمهاجم غير مصرح له بالسيطرة على الخادم عبر الشبكة. وقد أصدرت Oracle الإصلاح في تنبيه أمني طارئ بتاريخ 10 يونيو، كما أُدرجت الثغرة في كتالوج الثغرات المستغلة المعروف التابع لوكالة CISA.

استخدم المهاجمون هذه الثغرة قبل توفر الإصلاح، حيث نسبت Mandiant ومجموعة Google Threat Intelligence Group حملة إلى مجموعة UNC6240، المعروفة باسم ShinyHunters، والتي استغلت الثغرة بين 27 مايو و9 يونيو، واستهدفت الجامعات بشكل أساسي. وبما أن هذا النشاط سبق تنبيه Oracle، فقد اعتبرت الثغرة من نوع اليوم الصفر.

في متابعة جرت في سبتمبر، أفادت Mandiant بوجود موجة جديدة وأكبر انتشرت لتشمل قطاعات التكنولوجيا، وخدمات تكنولوجيا المعلومات، والرعاية الصحية، والزراعة، والنقل، والحكومة، مما أثر على عشرات الأنظمة حول العالم.

تضمنت الثغرات مكونين يعملان كتطبيقات ويب منفصلة، وهما بوابة التكامل التي تتبادل الرسائل مع الأنظمة الخارجية، ومركز إدارة البيئة الذي يمثل واجهة مسؤول داخلية. تبدأ العملية بتزوير طلبات الخادم الجانبية في بوابة التكامل، ثم يتم توجيه الطلب إلى عنوان الحلقة المرتدة 127.0.0.1 لتجاوز فحص الثقة في مركز إدارة البيئة. ومن هناك، يمكن تنفيذ تعليمات برمجية إما عن طريق كتابة صدفة ويب في دليل التطبيق أو عبر ملف XML خبيث يتم تشغيله عند بدء الخدمة.

وجدت Mandiant أن ShinyHunters تمكنت في موجة سبتمبر من تجاوز قواعد جدار حماية تطبيقات الويب عن طريق ترميز حرف واحد في المسار المطلوب. وأشارت التوجيهات إلى ضرورة تدوير بيانات الاعتماد والبحث عن صدف الويب، لأن تطبيق الإصلاح يغلق الثغرة ولكنه لا يطرد المهاجمين الذين اكتسبوا وصولاً مسبقاً.