گروه هکری مشهور ShinyHunters با اتخاذ استراتژی‌های جدید، موفق به دور زدن مکانیسم‌های دفاعی WAF برای بهره‌برداری از آسیب‌پذیری حساس CVE-2026-35273 در سامانه مدیریت منابع انسانی Oracle PeopleSoft شده‌اند. این تحول امنیتی نشان‌دهنده لزوم بازنگری در سیاست‌های فیلترینگ ورودی و متدهای بازرسی عمیق بسته‌ها (DPI) در سطح زیرساخت‌های سازمانی است.
مکانیسم حمله: تکنیک URL-Encoding و دور زدن WAF
بر اساس گزارش‌های فنی منتشر شده در آبان ۱۴۰۵، عاملان تهدید در ShinyHunters از یک متد کلاسیک اما بسیار مؤثر در لایه نرم‌افزاری برای خنثی کردن قوانین امنیتی فایروال‌های برنامه وب (WAF) استفاده می‌کنند. در حالی که فایروال‌ها به‌طور پیش‌فرض برای مسدودسازی الگوهای مخرب مربوط به آسیب‌پذیری CVE-2026-35273 پیکربندی شده‌اند، هکرها با اعمال تغییرات در کدگذاری URL (URL-encoding) درخواست‌های HTTP، سعی می‌کنند امضاهای تشخیص نفوذ (IDS/IPS) را فریب دهند. این تکنیک باعث می‌شود که WAF درخواست ارسالی را به عنوان یک ترافیک نرمال و مجاز شناسایی کرده و آن را به سمت سرور مقصد هدایت کند، جایی که موتور تحلیل‌گر Oracle PeopleSoft آن را رمزگشایی کرده و دستورات مخرب را اجرا می‌نماید.
شناخت آسیب‌پذیری CVE-2026-35273
آسیب‌پذیری CVE-2026-35273 یک رخنه امنیتی بحرانی در زیرساخت نرم‌افزاری Oracle PeopleSoft است که به مهاجم اجازه می‌دهد بدون نیاز به احراز هویت، کدهای دلخواه خود را در سطح سرور اجرا کند. این نقص در کنترل ورودی‌های غیرقابل اعتماد نهفته است. در صورت بهره‌برداری موفق، مهاجمان به طیف وسیعی از داده‌های حساس سازمانی دسترسی پیدا کرده و می‌توانند برای اهداف اخاذی یا نشت اطلاعات اقدام کنند. این آسیب‌پذیری به ویژه برای سازمان‌های بزرگی که از نسخه‌های قدیمی یا آپدیت‌نشده استفاده می‌کنند، تهدیدی وجودی محسوب می‌شود.
اهمیت دفاع چندلایه و فیلترینگ پیشرفته
برای مقابله با این سناریوی خاص که توسط ShinyHunters استفاده می‌شود، صرفاً اتکا به قوانین پایه WAF کافی نیست. مدیران امنیت شبکه باید اقدامات زیر را در دستور کار قرار دهند:
- نرمال‌سازی درخواست‌ها (Normalization): فایروال‌ها باید قبل از بررسی قوانین امنیتی، تمامی ورودی‌های URL-encoded را به فرمت استاندارد برگردانند تا ترفندهای مبهم‌سازی (Obfuscation) شناسایی شوند.
- به‌روزرسانی وصله‌های امنیتی: استفاده از آخرین Patchهای امنیتی ارائه شده توسط اوراکل برای بستن ریشه آسیب‌پذیری در کد منبع اپلیکیشن، مهم‌ترین اقدام پیشگیرانه است.
- پایش رفتاری (Behavioral Analysis): پیاده‌سازی سیستم‌های تحلیل رفتار کاربر و نهاد (UEBA) برای تشخیص الگوهای دسترسی غیرمعمول به توابع حساس PeopleSoft.
تحلیل فنی زیرساخت هدف
- نام آسیب‌پذیری: CVE-2026-35273
- سیستم هدف: Oracle PeopleSoft Enterprise
- روش حمله: URL-Encoding Obfuscation جهت دور زدن WAF
- عامل تهدید: ShinyHunters Extortion Gang
- ماهیت بهره‌برداری: اجرای کد از راه دور (RCE) بدون نیاز به احراز هویت
در نهایت، رویکرد ShinyHunters نشان می‌دهد که چگونه مهاجمان از شکاف‌های میان امنیت لایه شبکه و امنیت لایه اپلیکیشن بهره می‌برند. سازمان‌ها باید فراتر از پیکربندی‌های پیش‌فرض WAF حرکت کرده و مکانیزم‌های دفاعی خود را با تست‌های نفوذ دوره‌ای و به‌روزرسانی‌های مداوم سیستم‌های Core تقویت کنند.
