بدأت جهات تهديد إلكتروني في استهداف ثغرة أمنية حرجة تم تصحيحها مؤخرًا في منصة Oracle E-Business Suite، ما يعكس السرعة المتزايدة التي يتحرك بها المهاجمون لاستغلال الثغرات الجديدة فور الكشف عنها رسميًا. وتشير بيانات استخبارات التهديدات إلى أن محاولات الاستطلاع والاستغلال ظهرت بعد أيام قليلة فقط من إصدار شركة أوراكل تحديثها الأمني الدوري، الأمر الذي يضع المؤسسات المعتمدة على هذه المنصة أمام سباق مع الزمن لتطبيق التصحيحات الأمنية اللازمة.
وتتعلق الثغرة بالمعرف CVE-2026-101767، وقد حصلت على درجة خطورة مرتفعة بلغت 9.8 من 10 وفق نظام CVSS، ما يجعلها من بين أخطر الثغرات التي عالجتها أوراكل خلال تحديثاتها الأخيرة.
ثغرة مصادقة تتحول إلى تنفيذ أوامر عن بُعد
وفقًا لتحليل شركة Horizon3.ai، فإن الثغرة تنبع من مشكلة في آليات المصادقة داخل مكون Oracle Application Object Library التابع لمنصة Oracle E-Business Suite.
ورغم تصنيفها تقنيًا كخلل في المصادقة، فإن خطورتها الحقيقية تكمن في إمكانية ربطها بثغرة حقن SQL غير موثقة للمستخدمين، بما يسمح للمهاجم بالانتقال من الوصول الأولي إلى تنفيذ تعليمات برمجية عن بُعد على الخادم المستهدف.
وأوضحت الشركة أن المهاجم يستطيع إرسال طلب مُعد خصيصًا إلى مكون Thin Client Framework عبر المسار:
/OA_HTML/AppsTCFServer
ومن خلال هذا الطلب يمكن تنفيذ استعلامات SQL باستخدام صلاحيات مستخدم قاعدة البيانات APPS، وهو الحساب الذي يمتلك امتيازات واسعة داخل بيئة Oracle EBS.
ومع تصاعد عملية الاستغلال، يصبح بالإمكان تنفيذ أوامر على نظام التشغيل باستخدام صلاحيات حساب التطبيق الخاص بمنصة EBS، ما يمنح المهاجم تحكمًا عمليًا في الخادم المستهدف.
بيانات مالية وموارد بشرية في دائرة الخطر
تكمن حساسية هذه الثغرة في طبيعة الأنظمة التي تستهدفها.
فمنصة Oracle E-Business Suite تُستخدم على نطاق واسع في المؤسسات الكبرى لإدارة العمليات المالية والموارد البشرية والمشتريات وسلاسل التوريد وإدارة الرواتب.
ولهذا حذرت Horizon3.ai من أن الاستغلال الناجح قد يمنح المهاجم القدرة على قراءة أو تعديل البيانات المتاحة لحساب APPS داخل النظام.
وقد تشمل هذه البيانات سجلات مالية ومعلومات الرواتب والبيانات الوظيفية وسجلات المشتريات والعقود والعمليات التشغيلية الأخرى الحساسة.
كما أن الوصول إلى نظام التشغيل يفتح الباب أمام زرع برمجيات خبيثة أو إنشاء حسابات خلفية أو التحرك أفقيًا نحو أنظمة أخرى داخل الشبكة المؤسسية.
محاولات استكشاف مبكرة بعد التحديث الأمني
أعلنت شركة Defused Cyber أن أنظمة الطُعم الأمنية التابعة لها رصدت في 27 أكتوبر 2026 محاولات استكشافية تستهدف الثغرة CVE-2026-101767.
وأشارت الشركة إلى أن تلك المحاولات استهدفت استغلال الثغرة غير الموثقة للمستخدمين داخل مكون Thin Client Framework، في مؤشر واضح على أن المهاجمين بدأوا تحليل التحديث الأمني وفهم آلية الثغرة تمهيدًا لتطوير أدوات استغلال أكثر تطورًا.
وعادة ما تشهد الثغرات الحرجة الخاصة بالأنظمة المؤسسية اهتمامًا واسعًا من عصابات برامج الفدية ومجموعات الابتزاز الإلكتروني، نظرًا للقيمة العالية للبيانات المخزنة داخل هذه البيئات.
إجراءات عاجلة للمؤسسات المتأثرة
تنصح الجهات الأمنية جميع المؤسسات التي تستخدم Oracle E-Business Suite بتطبيق التحديثات الأمنية الأخيرة فورًا، خاصة بالنسبة للخوادم المتصلة مباشرة بالإنترنت.
وفي الحالات التي يتعذر فيها تنفيذ التصحيح بشكل فوري، أوصت Horizon3.ai بمجموعة من الإجراءات المؤقتة لتخفيف المخاطر.
وتشمل هذه الإجراءات إزالة المسار /OA_HTML/AppsTCFServer المرتبط بالمكون oracle.apps.fnd.tcf.SocketServer من قائمة السماح الخاصة بجدار الحماية المدمج في المنصة.
كما أوصت بتقييد الوصول إلى طبقة الويب الخاصة بمنصة EBS بحيث تقتصر الاتصالات على الشبكات الموثوقة فقط، مع تكثيف مراقبة قاعدة البيانات والخوادم بحثًا عن أي مؤشرات تدل على تعرضها للاختراق.
مؤشرات اختراق تساعد على الكشف المبكر
قدم الباحثون مجموعة من المؤشرات التي قد تساعد فرق الأمن السيبراني في اكتشاف محاولات الاستغلال مبكرًا.
ومن أبرز هذه المؤشرات ظهور طلبات POST غير موثقة تستهدف المسار /OA_HTML/AppsTCFServer وتتضمن استدعاءات للفئة البرمجية GanttDataServer، يليها نشاط غير معتاد داخل قاعدة البيانات.
كما ينبغي مراقبة عمليات الاستطلاع التي تستهدف معرفة إصدار قاعدة البيانات أو المستخدم الحالي أو الكائنات المرتبطة بالأدلة والمسارات الداخلية.
ومن العلامات الأخرى وجود ملفات غير متوقعة داخل المجلد $APPLPTMP أو رصد قيام حساب oracle باستدعاء shell النظام لتنفيذ أوامر تشغيل على مستوى نظام التشغيل.
Oracle EBS يواصل جذب اهتمام المهاجمين
لا تُعد هذه الواقعة الأولى التي تتعرض فيها منصة Oracle E-Business Suite لمحاولات استغلال مكثفة.
فخلال العامين الماضيين تعرضت المنصة لسلسلة من الثغرات الحرجة التي استهدفتها جهات تهديد متقدمة، من بينها الثغرتان CVE-2025-61882 وCVE-2026-46817 اللتان حصلتا أيضًا على درجات خطورة مرتفعة بلغت 9.8 من 10.
وكانت تقارير أمنية سابقة قد ربطت استغلال إحدى هذه الثغرات بنشاط عصابة برامج الفدية والابتزاز الشهيرة Cl0p، وهو ما يعكس القيمة الاستراتيجية التي تمثلها بيئات Oracle EBS بالنسبة للمهاجمين الباحثين عن بيانات مالية وإدارية حساسة.
ومع بدء رصد محاولات الاستغلال بعد أيام قليلة فقط من إصدار التصحيح الأمني، تبدو المؤسسات التي تؤجل تطبيق التحديثات في مواجهة خطر متزايد، خاصة أن تاريخ الهجمات السابقة على Oracle E-Business Suite يؤكد أن الفجوة الزمنية بين نشر التصحيح وظهور الاستغلالات الفعلية أصبحت أقصر من أي وقت مضى.
