PeopleSoft 0‑day: نشت گگابایت داده در صدها شرکت

---

یک روزنهٔ صفر‑روز در نرم‌افزار PeopleSoft، محصول اوراکل، کشف شد. این حفره می‌تونه به راحتی گگابایت‌ها داده حساس را از سرورهای صدها سازمان سرقت کند. اگر شما هم توی شرکت یا دانشگاهی از PeopleSoft استفاده می‌کنید، این خبر حتماً باید توی کافه‌تان بپیچد.

PeopleSoft 0‑day: چه شد و چرا این‌قدر مهمه؟

PeopleSoft یک پلتفرم مدیریت منابع انسانی و مالی است که توسط هزاران شرکت بزرگ دنیا به کار می‌رود. اوراکل، سازندهٔ این سیستم، اخیراً یک آسیب‌پذیری «صفر‑روز» (۰‑day) را کشف کرد که به مهاجمان اجازه می‌دهد بدون هیچ‌گونه اعتبارسنجی، به داده‌های ذخیره‌شده در سرورهای PeopleSoft دسترسی پیدا کنند.

این حفره در لایهٔ احراز هویت و کنترل دسترسی برنامه نهفته است؛ یعنی حتی اگر کاربر فقط دسترسی «خواندن» داشته باشد، می‌تواند با ارسال درخواست‌های خاص، کل دیتابیس را استخراج کند. اوراکل اعلام کرده که این مشکل «به اندازهٔ تمام حفره‌های بحرانی دیگر» است.

جزئیات فنی و اقتصادی

* **نوع آسیب‌پذیری:** Remote Code Execution (RCE) ترکیبی با SQL Injection.

* **بخش تحت تأثیر:** ماژول‌های Payroll و HRMS که داده‌های مالی، حقوق، و اطلاعات شخصی را نگهداری می‌کنند.

* **حجم سرقت:** برخی از گزارش‌ها حاکی از سرقت چند گگابایت داده در عرض ۲۴ ساعت است.

اوراکل تا به امروز تنها یک پچ اضطراری منتشر کرده و می‌گوید تا پایان ماه جاری تمام مشتریان باید به‌روزرسانی کنند. اما چون PeopleSoft در بسیاری از سازمان‌های دولتی و خصوصی به‌صورت داخلی (on‑premise) نصب شده، توزیع سریع این به‌روزرسانی دشوار است.

اقتصاد این حمله هم چشم‌گیر است: سرقت داده‌های حقوقی می‌تواند به سرقت هویت، تقلب مالی، و حتی شلیک‌سازهای تبلیغاتی هدفمند منجر شود. برای شرکت‌های بزرگ، هزینهٔ پاک‌سازی و جبران خسارت می‌تواند به صدها میلیون دلار برسد.

چه تأثیری بر کاربران ایرانی دارد؟

در ایران هم تعداد قابل‌توجهی از دانشگاه‌ها، بیمارستان‌ها و شرکت‌های بزرگ از PeopleSoft برای مدیریت پرسنل و مالی استفاده می‌کنند. اگر این سیستم در سازمان‌ها به‌روزرسانی نشود، داده‌های حساس مثل شمارهٔ ملی، حقوق، و سوابق کاری می‌تواند در دست هکرها بیفتد.

همچنین، بسیاری از استارتاپ‌های فناوری‌محور که به‌صورت زیرساختی از سرویس‌های اوراکل استفاده می‌کنند، ممکن است به‌طور غیرمستقیم تحت تأثیر این حفره قرار بگیرند. برای کاربران نهایی، این یعنی احتمال دریافت ایمیل‌های فیشینگ هدفمند یا حتی دسترسی غیرمجاز به حساب‌های بانکی.

نتیجه‌گیری

حفرهٔ صفر‑روز PeopleSoft نشان داد که حتی نرم‌افزارهای «سازمانی» هم می‌توانند هدف حملات بزرگ شوند. اوراکل در حال پچ کردن است، اما زمان کافی برای به‌روزرسانی در محیط‌های داخلی ممکن است نباشد.

اگر در سازمان‌تان از PeopleSoft استفاده می‌کنید، فوراً با تیم IT تماس بگیرید و از نصب آخرین پچ اطمینان حاصل کنید.

آیا سازمان‌های ایرانی آمادگی مقابله با چنین حملات پیچیده‌ای را دارند؟

---