المخترقون يختبرون ثغرة Oracle E-Business Suite CVE-2026-101767 بعد التصحيح

بدأت جهات تهديد اختبار ثغرة حرجة صُححت حديثاً في Oracle E-Business Suite، وفقاً لشركة Defused Cyber. الثغرة CVE-2026-101767 هي حقن SQL غير مصادق عليه في سيرفلت Thin Client Framework يمكن تسلسله إلى تنفيذ شيفرة عن بُعد. وقالت Defused Cyber إن مصائدها الخاصة بـ Oracle E-Business Suite سجلت في 27 أكتوبر محاولات استغلال استكشافية ضد CVE-2026-101767.

ما تتيحه الثغرة

تقع الثغرة في Oracle Application Object Library ضمن Oracle E-Business Suite. واكتشفها باحثو Horizon3.ai براندون بيترسون وجيمي سيبري ونواه كينغ وأبلغوا Oracle بها في 24 يوليو 2026. ويمكن لمهاجم لديه وصول شبكي إلى سيرفلت Thin Client Framework المتأثر تنفيذ أوامر SQL بصفة مستخدم قاعدة البيانات APPS، ثم تشغيل أوامر نظام التشغيل بصفة حساب تطبيق EBS. ويمكن لطلب مُصاغ يُرسل إلى السيرفلت الضعيف على المسار /OA_HTML/AppsTCFServer تنفيذ SQL بامتيازات APPS وتمكين تنفيذ أوامر النظام بامتيازات حساب تطبيق EBS. ويتيح الاستغلال الناجح للمهاجم قراءة بيانات التطبيق التي يمكن لـ APPS الوصول إليها أو تعديلها، وتنفيذ أوامر على مضيف التطبيق. وبحسب طريقة النشر، قد تشمل البيانات المتأثرة سجلات مالية ورواتب وموارد بشرية ومشتريات. ويخضع الوصول إلى نظام التشغيل لصلاحيات حساب تطبيق EBS المخترق. وتمثل عمليات النشر المواجهة للإنترنت أكبر خطر، لكن يمكن أيضاً استغلال الأنظمة الداخلية إذا تمكن مهاجم من الوصول إلى السيرفلت الضعيف من نظام مخترق أو من مقطع شبكي آخر يمكن الوصول إليه.

التصحيح والحلول المؤقتة

صححت Oracle الثغرة CVE-2026-101767 الأسبوع الماضي ضمن Critical Patch Update. ويُنصح المستخدمون بالتحديث إلى أحدث إصدار في أقرب وقت ممكن. وإذا لم يكن التصحيح الفوري متاحاً، تسرد Horizon3.ai حلولاً مؤقتة: إزالة المسار /OA_HTML/AppsTCFServer المرتبط بـ oracle.apps.fnd.tcf.SocketServer من قائمة السماح في جدار حماية عناوين URL الخاصة بـ EBS؛ وتقييد الوصول إلى طبقة الويب في EBS بالشبكات الموثوقة؛ ومراقبة مضيف تطبيق EBS وقاعدة البيانات بحثاً عن علامات الاختراق.

مؤشرات الاختراق

شاركت Horizon3.ai مؤشرات اختراق، تشمل طلبات POST غير مصادق عليها إلى /OA_HTML/AppsTCFServer تنشئ كائناً من صنف خادم بيانات Gantt المسمى oracle.apps.jtf.gantt.server.GanttDataServer، تليها أنشطة على قاعدة البيانات الخلفية. وتشمل أيضاً استطلاعاً لقاعدة البيانات باستعلامات SQL بعد وقت قصير من طلبات الويب غير المصادق عليها، مثل إصدار قاعدة البيانات والمستخدم الحالي وكائنات الأدلة. ومن المؤشرات كذلك ظهور ملفات غير متوقعة في $APPLPTMP، وتشغيل حساب oracle للملف /bin/sh عبر Concurrent Manager لتنفيذ أوامر نظام التشغيل.

ثغرات EBS سابقة مستهدفة

تُعد الثغرات في EBS هدفاً ساخناً للمهاجمين. وعلى مدى العام الماضي، تعرضت ثغرتان حرجتان في المنتج نفسه، CVE-2025-61882 وCVE-2026-46817، ودرجة CVSS لكل منهما 9.8، لاستغلال نشط. واستغلت الأولى مجموعة Cl0p للفدية والابتزاز.

المصادر: The Hacker News