ثغرة زيرو داي في Oracle PeopleSoft تضرب الجامعات عالمياً

مقدمة تحليلية

تعرضت العديد من المؤسسات التعليمية لهجمات سيبرانية واسعة النطاق استغلت ثغرة أمنية حرجة من نوع زيرو داي في نظام Oracle PeopleSoft. تم تنفيذ هذه الهجمات بواسطة مجموعة الابتزاز الإلكتروني المعروفة باسم ShinyHunters، حيث استهدفت الثغرة أنظمة إدارة موارد المؤسسات (ERP) الحساسة لسرقة بيانات الطلاب والموظفين وطلب فدية.

أكدت التقارير الصادرة عن شركة Mandiant، التي تتبع المجموعة تحت الرمز UNC6240، أن النشاط الهجومي تركز في الفترة ما بين 27 مايو و9 يونيو 2026. وتعتبر هذه الحادثة جرس إنذار للمؤسسات التي تعتمد على أنظمة Oracle القديمة أو التي لا تقوم بتحديث بيئتها البرمجية بشكل دوري وسريع.

التحليل التقني

تتمحور الثغرة حول خطأ في التنفيذ عن بُعد (RCE) مصنف بالرمز CVE-2026-35273، مع درجة خطورة تقنية بلغت 9.8 من 10 على مقياس CVSS. تعتمد طبيعة الاستغلال على الآتي:

• الثغرة موجودة في مكون Updates Environment Management ضمن نظام PeopleSoft Enterprise PeopleTools.
• تؤثر الإصدارات 8.61 و8.62، بالإضافة إلى الإصدارات الأقدم غير المدعومة.
• لا تتطلب الهجمة أي بيانات اعتماد (No-login) أو تفاعل من المستخدم، بل تعتمد على الوصول عبر HTTP إلى واجهة PSEMHUB.
• استخدم المهاجمون خوادم Python SimpleHTTP على المنفذ 8888 لاستضافة أدوات التسلل وأوامر البرمجة النصية.
• تم رصد استخدام أدوات تحكم عن بُعد من نوع MeshCentral متنكرة في شكل ملفات تنفيذية تابعة لـ Microsoft Azure.
• تعتمد الهجمات على الانتشار الجانبي (Lateral Movement) باستخدام سكربتات bash_history لجمع بيانات الاعتماد والوصول إلى داخل الشبكة.

السياق وتأثير السوق

تُعد جامعة نوتنجهام واحدة من الضحايا الأوائل الذين تم تأكيد اختراقهم، حيث تسربت بيانات أكثر من 455 ألف طالب وخريج. يمثل هذا التطور تحولاً استراتيجياً في أساليب ShinyHunters، التي كانت تعتمد سابقاً على التصيد الهاتفي (vishing) وسرقة الرموز المميزة في منصات SaaS. الانتقال إلى استهداف ثغرات زيرو داي في برمجيات ERP على مستوى المؤسسات يعكس قدرات تقنية متقدمة ونية واضحة لاستهداف قواعد بيانات ضخمة وغنية بالمعلومات.

رؤية Glitch4Techs

تؤكد هذه الحادثة أن حلول الحماية التقليدية مثل قواعد فحص الويب (WAF) ليست كافية لمواجهة ثغرات RCE المتطورة. نرى أن الاعتماد على أنظمة ERP قديمة هو نقطة ضعف استراتيجية لا يمكن معالجتها إلا بالانتقال إلى نماذج أمنية صارمة تعتمد على تقييد الوصول للخدمات الداخلية (PSEMHUB) وتطبيق سياسات Zero Trust بشكل كامل. ننصح الفرق التقنية بإجراء فحص فوري لسجلات وصول WebLogic والبحث عن أي ملفات .jsp أو نشاط مشبوه على المنفذ 445، حيث يمثل هذا الاختراق بداية موجة جديدة من الهجمات التي تستهدف البنية التحتية البرمجية الأساسية للمؤسسات التعليمية والشركات الكبرى.