كشفت تحليلات جديدة أن الثغرة الحرجة التي استغلتها مجموعة القرصنة الشهيرة ShinyHunters ضد منصة Oracle PeopleSoft منذ مايو الماضي لم تكن ثغرة منفردة كما كان يُعتقد سابقًا، بل سلسلة مترابطة من ثلاث ثغرات أمنية متعاقبة مكّنت المهاجمين من الوصول الكامل إلى الخوادم المستهدفة وتنفيذ تعليمات برمجية عن بُعد دون الحاجة إلى أي بيانات اعتماد أو تسجيل دخول.
وبحسب ما أوضحه الباحثون الأمنيون الذين أبلغوا عن الخلل إلى شركة أوراكل، فقد جرى تصحيح جميع الثغرات الثلاث تحت معرف واحد هو CVE-2026-35273، إلا أن التحقيقات التقنية اللاحقة أظهرت أن الأمر يتعلق بثلاث نقاط ضعف مستقلة تعمل معًا ضمن سلسلة هجوم متكاملة، الأمر الذي يفسر مدى خطورة الحملة التي استهدفت عشرات المؤسسات حول العالم.
تفاصيل الثغرات الثلاث داخل PeopleSoft
التحليل الذي نشره أحد الباحثين من مبادرة Zero Day Initiative أوضح أن الثغرات وُجدت في مكونين رئيسيين من مكونات PeopleSoft هما Integration Gateway المعروف اختصارًا بـ PSIGW وEnvironment Management Hub أو PSEMHUB.
وتبدأ عملية الاستغلال بثغرة من نوع تزوير الطلبات من جانب الخادم SSRF داخل مكون PSIGW، حيث يستطيع المهاجم إرسال طلب إلى الموصل المسؤول عن معالجة الاتصالات، ثم التحكم في الوجهة التي يُعاد توجيه الطلب إليها بالإضافة إلى محتوى الطلب نفسه.
في الظروف الطبيعية قد لا تؤدي ثغرات SSRF وحدها إلى اختراق كامل للأنظمة، لكن المشكلة في PeopleSoft كانت أن الواجهة الإدارية الداخلية PSEMHUB تعتمد على مفهوم الثقة بالمضيفات المحلية، إذ تتضمن إعداداتها الافتراضية عنوان الحلقة المحلية 127.0.0.1 ضمن قائمة المضيفات الموثوقة.
هذا التصميم سمح للمهاجم بإعادة توجيه الطلبات الخبيثة إلى العنوان المحلي نفسه، بحيث تبدو وكأنها صادرة من الخادم ذاته. ونتيجة لذلك تتجاوز الطلبات آليات التحقق الأمنية وتصل مباشرة إلى الواجهة الإدارية التي يفترض ألا تكون متاحة للمستخدمين الخارجيين.
كيف تحولت الثغرة إلى تنفيذ أوامر عن بُعد؟
بعد النجاح في تجاوز الحماية والوصول إلى PSEMHUB، اكتشف الباحثون مسارين مختلفين لتحويل الاختراق إلى تنفيذ كامل للأوامر البرمجية.
المسار الأول يعتمد على إساءة استخدام وظيفة مخصصة لتسجيل الأحداث والبيانات داخل النظام. وتتيح هذه الوظيفة للمهاجم التحكم في محتوى الملف الذي يجري إنشاؤه وكذلك مسار حفظه على القرص الصلب. وبهذا يمكن للمهاجم زرع Web Shell داخل مجلدات التطبيق، ما يمنحه القدرة على تنفيذ الأوامر عن بُعد باستخدام صلاحيات خدمة PeopleSoft.
أما المسار الثاني فيُعد أكثر تعقيدًا وأشد خطورة، إذ يعتمد على إنشاء ملف XML خبيث تقوم خدمة PSEMHUB بقراءته عبر أداة Java XMLDecoder عند إعادة تشغيل الخدمة. وعندما تتم قراءة الملف، يجري تنفيذ الحمولة البرمجية الضارة تلقائيًا دون الحاجة إلى زرع Web Shell تقليدي، وهو ما يجعل اكتشاف الهجوم أكثر صعوبة بالنسبة لفرق المراقبة الأمنية.
ويرى الباحثون أن جوهر المشكلة لا يكمن فقط في ثغرة SSRF، بل في القرار التصميمي الذي جعل عنوان الحلقة المحلية موثوقًا بشكل افتراضي، الأمر الذي ألغى فعليًا فاعلية آلية التحقق بمجرد وجود ثغرة تسمح بإعادة توجيه الطلبات داخليًا.
ShinyHunters استغلت الثغرة قبل صدور التصحيح
تُظهر التحقيقات التي أجرتها شركتا Google Threat Intelligence Group وMandiant أن مجموعة UNC6240، المعروفة على نطاق واسع باسم ShinyHunters، بدأت استغلال الثغرات بين 27 مايو و9 يونيو 2026.
وخلال تلك الفترة كانت المؤسسات المستهدفة، خصوصًا الجامعات والهيئات التعليمية، تعمل على أنظمة مكشوفة بالكامل لأن التصحيح الأمني لم يكن قد صدر بعد. ولهذا صُنفت الثغرة باعتبارها ثغرة يوم صفر Zero-Day طوال مدة الحملة الأولى.
وفي العاشر من يونيو أصدرت شركة أوراكل تحديثًا أمنيًا عاجلًا خارج جدول تحديثاتها المعتاد لمعالجة الخلل، ومنحت الثغرة درجة خطورة 9.8 وفق نظام CVSS، وهي من أعلى الدرجات الممكنة، ما يعكس قدرتها على منح المهاجمين سيطرة كاملة على الخوادم عبر الشبكة.
ولاحقًا أُدرجت الثغرة ضمن كتالوج الثغرات المستغلة فعليًا التابع لوكالة الأمن السيبراني والبنية التحتية الأمريكية CISA، وهو ما يؤكد وجود استغلالات حقيقية وواسعة النطاق لها.
موجة هجمات ثانية وتجاوز جدران الحماية
لم تتوقف الاستغلالات بعد إصدار التحديث الأمني. ففي سبتمبر كشفت Mandiant عن موجة أكبر من الهجمات امتدت إلى قطاعات التكنولوجيا وخدمات تقنية المعلومات والرعاية الصحية والزراعة والنقل والجهات الحكومية.
وأظهرت التحقيقات أن أعضاء ShinyHunters تمكنوا من تجاوز بعض قواعد جدران حماية تطبيقات الويب WAF التي كانت تحظر المسار /PSEMHUB/ بشكل مباشر. ولتحقيق ذلك استخدموا أسلوبًا بسيطًا يعتمد على ترميز حرف واحد فقط داخل الرابط، حيث جرى استبدال الحرف الأول بصيغته المشفرة لتصبح القيمة /%50SEMHUB/.
وبينما كانت بعض أنظمة WAF تبحث عن المسار النصي التقليدي فقط، كان خادم PeopleSoft يفك الترميز تلقائيًا ويمنح المهاجمين الوصول إلى الصفحة المطلوبة، ما كشف محدودية الاعتماد على قواعد الحظر المبنية على المسارات فقط.
توصيات عاجلة للمؤسسات المتأثرة
تشدد أوراكل وشركة Mandiant على أن تثبيت التصحيح الأمني الخاص بالثغرة CVE-2026-35273 هو الإجراء الأساسي والأكثر أهمية، مع ضرورة تشغيل إصدارات مدعومة من PeopleTools.
أما البيئات التي لم تتمكن بعد من تطبيق التحديثات الأمنية، فيُنصح فيها بتعطيل خدمة Environment Management Hub في البنى متعددة الخوادم أو إزالة تطبيق PSEMHUB بالكامل في الأنظمة أحادية الخادم وفق توجيهات أوراكل.
وفي الحالات التي يُحتمل فيها وقوع اختراق سابق، توصي Mandiant باعتبار أي خادم يحتوي على Web Shell نظامًا مخترقًا بالكامل، مع الاحتفاظ بالأدلة الجنائية الرقمية وتدوير جميع بيانات الاعتماد التي كان يمكن الوصول إليها من طبقة PeopleSoft.
كما حذرت الشركة من أن ShinyHunters لا تكتفي عادة بسرقة البيانات الحساسة، بل تمارس ضغوطًا مالية على الضحايا من خلال عمليات الابتزاز اللاحقة، ما يجعل الاستجابة السريعة وعمليات البحث الاستباقية عن مؤشرات الاختراق أمرًا بالغ الأهمية.
