هشدار اوراکل درباره آسیب‌پذیری حیاتی PeopleSoft؛ بیش از ۱۰۰ شرکت قربانی شدند
اوراکل با انتشار یک هشدار امنیتی رسمی، خطر یک آسیب‌پذیری حیاتی در نرم‌افزار سازمانی PeopleSoft را تأیید کرد. این در حالی است که گروه هکری ShinyHunters مدعی شده با سوءاستفاده از همین حفره امنیتی، به سیستم‌های بیش از ۱۰۰ شرکت و سازمان بزرگ جهان نفوذ کرده است. در این خبر از انارسیستم، جزئیات فنی این حمله گسترده، نهادهای تحت تأثیر و واکنش غول فناوری به این تهدید را بررسی می‌کنیم.
ماجرا از چه قرار است؟
تنها یک روز پس از ادعای بزرگ گروه ShinyHunters مبنی بر نفوذ به بیش از ۱۰۰ سازمان، اوراکل بیانیه‌ای امنیتی منتشر کرد. این بیانیه، وجود یک نقص امنیتی حیاتی در نرم‌افزار پرکاربرد PeopleSoft را تأیید می‌کند. PeopleSoft یک راهکار سازمانی شناخته‌شده است که شرکت‌های بزرگ از آن برای مدیریت حقوق و دستمزد و همچنین امور منابع انسانی خود استفاده می‌کنند.
نکته هشداردهنده ماجرا اینجاست که این گروه هکری توانسته با استفاده از یک روش نفوذ بدون نیاز به احراز هویت، سدهای امنیتی را پشت سر بگذارد. این یعنی هکرها برای ورود به سیستم، حتی به یک رمز عبور ساده هم نیاز نداشته‌اند.
تأیید رسمی گوگل و ماندینت
واحد امنیت سایبری ماندینت (Mandiant) که تحت مالکیت گوگل فعالیت می‌کند و در زمینه بررسی حملات سایبری تخصص دارد، در یک پست وبلاگی تأیید کرد که آسیب‌پذیری جدید اوراکل، دقیقاً همان حفره‌ای است که گروه ShinyHunters در کارزار هک هدفمند خود علیه مشتریان PeopleSoft از آن بهره‌برداری کرده است.
هشدار برای سازمان‌های آموزشی
ماندینت اعلام کرده که تاکنون «بیش از ۱۰۰ سازمان جهانی» را برای محدود کردن دسترسی به سیستم‌های آسیب‌پذیرشان مطلع کرده است. نکته جالب توجه این است که حدود دو سوم از سازمان‌های هک‌شده، در حوزه آموزش عالی (دانشگاه‌ها و کالج‌ها) فعالیت می‌کنند. این موضوع با ادعای قبلی ShinyHunters همخوانی کامل دارد.
یکی از اعضای ShinyHunters در گفتگو با TechCrunch فاش کرد که آن‌ها در این حمله «صدها هزار رکورد اطلاعاتی دانشجویان شامل نام کامل، آدرس منزل، شماره تلفن، ایمیل، تاریخ تولد، جنسیت، قومیت، وضعیت ثبت‌نام، معدل و رشته تحصیلی» را به سرقت برده‌اند.
توصیه فوری اوراکل؛ هنوز خبری از وصله امنیتی نیست
شرکت اوراکل در بیانیه خود تصریح کرده که این باگ امنیتی قابلیت سوءاستفاده از طریق اینترنت را دارد و متأسفانه در زمان انتشار این گزارش، هنوز هیچ وصله امنیتی (Patch) رسمی برای آن منتشر نشده است. این آسیب‌پذیری از نوع «صفرروزه» (Zero-Day) است، بدین معنا که اوراکل فرصتی برای ترمیم آن پیش از کشف و بهره‌برداری توسط هکرها پیدا نکرده است.
این غول فناوری در اقدامی فوری، از مشتریان خود خواسته است تا دستورالعمل‌های کاهش ریسک (Mitigations) ارائه شده را برای جلوگیری از هرگونه بهره‌برداری مخرب اعمال کنند. به سازمان‌هایی که از این نرم‌افزار استفاده می‌کنند توصیه می‌شود هرچه سریع‌تر بسته‌های کاهش خطر را پیاده‌سازی کرده و دسترسی‌های غیرضروری به اینترنت را محدود کنند.
شگرد همیشگی ShinyHunters: نفوذ از طریق نرم‌افزار
این اولین بار نیست که ShinyHunters با شناسایی نرم‌افزارهای آسیب‌پذیر به سازمان‌ها حمله می‌کند. این گروه در سال گذشته نیز با روشی مشابه، شرکت‌هایی را که از Salesforce، Gainsight و محصولات غول آموزشی Instructure استفاده می‌کردند، هدف قرار داد. شگرد همیشگی آن‌ها ساده اما خطرناک است: پس از نفوذ و سرقت داده‌های شرکتی یا مشتریان، با تهدید به انتشار اطلاعات، از قربانیان درخواست باج می‌کنند.
جمع‌بندی
حمله به Oracle PeopleSoft زنگ خطر جدی را برای تمام سازمان‌ها، به‌ویژه مراکز آموزشی که حجم عظیمی از داده‌های حساس دانشجویی را نگهداری می‌کنند، به صدا درآورده است. در شرایطی که وصله رسمی هنوز در دسترس نیست، تنها راه مقابله، هوشیاری تیم‌های فنی و اجرای دقیق دستورالعمل‌های اوراکل است.
برای دریافت آخرین اخبار امنیت سایبری و فناوری‌های سازمانی، انارسیستم را دنبال کنید.
منبع خبر: TechCrunch — Oracle warns of security bug that hackers abused to breach 100+ companies | Lorenzo Franceschi-Bicchierai | 11 ژوئن ۲۰۲۶