ثغرة Oracle E-Business Suite: هجمات بدأت قبل نشر كود الاستغلال العلني

أبرز النقاط

• رُصدت أولى محاولات الاستغلال في 27 يونيو 2026، أي قبل نشر أي كود استغلال علني
• الثغرة تحمل تصنيف CVSS 9.8 وتتيح قراءة ملفات حساسة دون مصادقة
• نحو 950 خادم EBS مكشوف على الإنترنت حالياً وفق مؤسسة Shadowserver

لم ينتظر المهاجمون طويلاً هذه المرة؛ فقد رصد باحثون من شركة Defused أولى محاولات استغلال ثغرة CVE-2026-46817 الحرجة في منظومة Oracle E-Business Suite يوم 27 يونيو 2026، أي بعد ستة أسابيع فقط من إصدار Oracle لتصحيحها ضمن تحديث مايو الأمني — والأخطر أن ذلك حدث قبل أن يظهر أي كود استغلال علني على الإنترنت.

ما طبيعة هذه الثغرة ولماذا تُعدّ بالغة الخطورة؟

تكمن الثغرة في مكوّن Oracle Payments File Transmission داخل إصدارات EBS من 12.2.3 حتى 12.2.15. تحمل تصنيف خطورة CVSS يبلغ 9.8 من 10، ما يضعها في أعلى فئات التهديد. تتيح الثغرة لمهاجم غير موثّق قراءة ملفات عشوائية من الخوادم المصابة دون الحاجة إلى بيانات دخول، مما يعني إمكانية الوصول إلى ملفات الإعدادات وبيانات الاعتماد والمعلومات المالية الحساسة.

كيف استغل المهاجمون الثغرة قبل الجميع؟

أشار باحثو Defused إلى أن أسلوب الهجوم لم يكن مسحاً عشوائياً واسع النطاق كما يحدث عادةً بعد الإعلان عن ثغرات حرجة. بل سجّلت مصائدهم ست محاولات استغلال فقط من مصدر واحد، جميعها استخدمت ما بدا أنه كود استغلال فعّال يستهدف استرجاع ملفات حساسة محددة. هذا النمط يوحي بأن المشغّل كان يختبر تقنيته أو يتحقق من صحتها، لا يرمي شباكه عشوائياً.

الاستنتاج الأبرز: المهاجم إما أجرى هندسة عكسية لتصحيح Oracle ليكتشف موضع الخلل الأصلي — وهي تقنية تُعرف بـ patch diffing — أو حصل على كود استغلال خاص من مصدر آخر. في كلتا الحالتين، هذا يعكس مستوى تطور ملحوظ وقدرة على التحرك أسرع من معظم فرق الأمن في المؤسسات.

كم عدد الأنظمة المكشوفة حالياً؟

وفقاً لمؤسسة Shadowserver Foundation، يوجد حالياً نحو 950 خادم Oracle EBS مكشوفاً على الإنترنت العام، معظمها في الولايات المتحدة. لكن المؤسسة شددت على أن هذا الرقم لا يعكس بالضرورة عدد الأنظمة الهشّة فعلياً، إذ قد يكون بعضها مُحدَّثاً بالكامل.

نمط متكرر: برمجيات المؤسسات تحت الحصار

هذه الحادثة ليست معزولة. في وقت سابق من هذا الشهر، حذّر باحثون من استغلال ثغرة يوم صفر حرجة في Oracle PeopleSoft قبل انتشار التصحيحات على نطاق واسع، حيث زعمت مجموعة ShinyHunters اختراق أكثر من 100 مؤسسة وسرقة بيانات الموارد البشرية والرواتب.

كذلك كشفت تقارير العام الماضي عن حملة مطوّلة شنّتها عصابة Clop للفدية ضد عملاء Oracle E-Business Suite، استهدفت خوادم EBS المكشوفة على الإنترنت لأشهر قبل أن يُعلَن عن النشاط.

• ثغرة PeopleSoft يوم صفر: مجموعة ShinyHunters تزعم اختراق +100 مؤسسة
• حملة Clop: استهداف خوادم EBS لأشهر قبل الكشف العلني
• التحديثات الأمنية أصبحت خرائط طريق للمهاجمين الذين يجرون هندسة عكسية

لماذا أصبحت أنظمة ERP هدفاً مغرياً؟

أنظمة تخطيط موارد المؤسسات مثل Oracle EBS تدير العمليات المالية وسلاسل التوريد وبيانات الموظفين لآلاف المؤسسات الكبرى حول العالم. هذا التركيز الهائل للبيانات الحساسة والعمليات الحرجة يجعلها هدفاً عالي القيمة للمهاجمين ذوي الدوافع المالية. والأسوأ أن دورات التحديث في بيئات الإنتاج غالباً ما تكون بطيئة بسبب متطلبات الاختبار والتوافق، مما يمنح المهاجمين نافذة زمنية للاستغلال.

ما الخطوات العملية لفرق الأمن الآن؟

• التحقق فوراً من تطبيق تحديث Oracle لشهر مايو 2026 على جميع بيئات EBS
• مراجعة سجلات الوصول لمكوّن Oracle Payments File Transmission بحثاً عن طلبات مشبوهة
• تقييم ضرورة كشف خوادم EBS على الإنترنت العام — الافتراض الآمن هو عدم الكشف
• تفعيل مراقبة مستمرة لمحاولات قراءة الملفات غير المعتادة
• الاستعداد لثغرات مستقبلية: بناء عملية تصحيح طوارئ لا تتجاوز 72 ساعة للثغرات الحرجة

الأسئلة الشائعة

ما هي ثغرة CVE-2026-46817 في Oracle E-Business Suite؟

ثغرة حرجة بتصنيف CVSS 9.8 في مكوّن Oracle Payments File Transmission تتيح لمهاجم غير موثّق قراءة ملفات عشوائية من الخوادم المصابة دون الحاجة لبيانات دخول.

هل نظامي معرّض للخطر إذا كنت أستخدم Oracle EBS؟

إذا كنت تستخدم إصدارات 12.2.3 إلى 12.2.15 ولم تطبّق تحديث مايو 2026 الأمني، فنظامك معرّض. تحقق من حالة التصحيح فوراً.

كيف استطاع المهاجمون استغلال الثغرة قبل نشر كود الاستغلال؟

على الأرجح عبر تقنية patch diffing: تحليل الفرق بين الكود قبل التصحيح وبعده لاكتشاف موضع الخلل الأصلي وبناء كود استغلال خاص.

ما أنظمة Oracle الأخرى المستهدفة مؤخراً؟

شهدت Oracle PeopleSoft استغلال ثغرة يوم صفر هذا الشهر، كما تعرّض عملاء EBS لحملة Clop للفدية العام الماضي.