Oracle, Siber Güvenlik Farkındalık Ayı’nı tamamlarken hem E-Business Suite hem de PeopleSoft platformlarında tespit edilen ciddi güvenlik açıklarıyla karşı karşıya kaldı. 27 Ekim tarihinde Defused Cyber tarafından yapılan açıklamalara göre, Oracle E-Business Suite içerisinde yer alan kritik bir SQL enjeksiyonu zafiyeti (CVE-2026-101767), uzaktan kod yürütme (RCE) riski taşıyor. Oracle bu zafiyet için Ekim ayı içerisinde bir yama yayınlamış olsa da, saldırganların sistemleri aktif olarak taradığı rapor ediliyor. Aynı süreçte, ShinyHunters adlı grubun Oracle PeopleSoft üzerindeki bir sıfırıncı gün (zero-day) açığını kullanarak geniş çaplı veri ihlalleri gerçekleştirdiği ortaya çıktı.
- Oracle E-Business Suite üzerinde keşfedilen SQL enjeksiyonu açığı, saldırganların kimlik doğrulaması olmaksızın uzaktan kod yürütmesine olanak tanıyor.
- ShinyHunters grubu tarafından istismar edilen PeopleSoft zafiyetinin aslında üç ayrı güvenlik açığından oluştuğu uzmanlar tarafından doğrulandı.
- Siber güvenlik araştırmacıları, yamaların uygulanmasının tek başına yeterli olmadığını ve saldırganların kurmuş olabileceği web kabuklarının temizlenmesi gerektiğini vurguluyor.
- Oracle, PeopleSoft zafiyetlerini tek bir CVE altında toplamak yerine, üç ayrı güvenlik açığı için ayrı tanımlayıcılar atamak üzere koordinasyon yürütüyor.
Oracle E-Business Suite Üzerindeki SQL Zafiyeti Risk Oluşturuyor
Horizon3 araştırmacıları tarafından keşfedilen ve Oracle’a bildirilen CVE-2026-101767 kodlu zafiyet, sistemin Thin Client Framework servlet’i üzerinden gerçekleştiriliyor. Bu kritik hata, yetkisiz kullanıcıların APPS veritabanı kullanıcısının ayrıcalıklarıyla SQL komutları çalıştırmasına imkan veriyor. Saldırı zinciri, uygulama sunucusu hesabının izinleri dahilinde işletim sistemi seviyesinde komut yürütülmesine kadar uzanabiliyor. Özellikle finans, bordro, İK ve tedarik gibi hassas verilerin bulunduğu ortamlarda bu durum ciddi bir veri sızıntısı tehdidi doğuruyor.
PeopleSoft Platformunda Üçlü Zafiyet Zinciri Tespit Edildi
TrendAI Zero Day Initiative (ZDI) araştırmacıları Bobby Gould, Minh Giang ve Lucas Miller, daha önce tek bir CVE ile geçiştirilen PeopleSoft açığının aslında birbirine bağlı üç farklı zafiyetten oluştuğunu kanıtladı. İlk zafiyet, Integration Gateway (PSIGW) üzerinde bir Sunucu Tarafı İstek Sahteciliği (SSRF) oluşturarak saldırgana sistem içinde bir giriş noktası kazandırıyor. İkinci zafiyet, PSEMHUB bileşenindeki dosya yolu denetimi eksikliği sayesinde saldırganların sunucuya web kabuğu yerleştirmesine olanak tanıyor.
Üçüncü ve son aşama olan güvensiz verilerin serileştirilmesi (deserialization) ise, kötü niyetli bir XML dosyasının sisteme enjekte edilip servis yeniden başlatıldığında çalıştırılmasını sağlıyor. Bu karmaşık saldırı zinciri, eğitim sektöründen teknoloji firmalarına kadar dünya genelinde onlarca farklı kurumun sistemlerini hedef aldı. Mandiant raporları, saldırganların bu yöntemle küresel çapta web kabukları dağıtarak kalıcı erişim sağladığını gösteriyor.
Kurumların Yama Stratejilerini Gözden Geçirmesi Gerekiyor
Güvenlik uzmanları, yalnızca yama yayınlamanın sistem güvenliğini sağlamak için yeterli olmadığını hatırlatıyor. Eğer bir sistem zaten ele geçirilmişse ve saldırganlar arka kapı olarak web kabukları yerleştirmişse, yamalar bu kalıcı erişimi kaldırmayacaktır. Bu nedenle, tüm kurumsal kullanıcıların sistemlerinde olağan dışı dosya hareketliliğini kontrol etmeleri ve olası ihlalleri araştırmak için kapsamlı bir adli bilişim incelemesi yapmaları öneriliyor.
Sizce kurumlar, Oracle gibi karmaşık yazılım ekosistemlerinde ortaya çıkan bu tür çok katmanlı zafiyetlere karşı nasıl bir savunma stratejisi izlemeli? Güvenlik yamalarını uygulamak dışında, sistemlerinizin sızdırılmadığından nasıl emin oluyorsunuz? Görüşlerinizi ve deneyimlerinizi aşağıdaki yorum bölümünde bizimle paylaşabilirsiniz.
