SAP публикува своите актуализации за сигурност за септември 2026 г. (Security Patch Day), предоставяйки 19 нови бюлетина за сигурност и една актуализация на предишно издаден бюлетин.
Корекциите за сигурност отстраняват уязвимости в SAP NetWeaver, SAP Extended Passport Processing, SAP Cloud Application Programming Model, SAP S/4HANA, SAP Integration Suite, SAP Commerce Cloud и други корпоративни продукти.
Най-сериозният проблем е CVE-2026-44756 – критична уязвимост за повреждане на паметта (memory corruption) в SAP Extended Passport Processing, проследявана под SAP Note 3747649. Тя притежава CVSS оценка 10.0, което е най-високата възможна степен на опасност.
Уязвимостта засяга множество версии на SAP kernel и Web Dispatcher, включително KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04 и от 9.16 до 9.20.
Неавтентифициран отдалечен атакуващ би могъл потенциално да експлоатира уязвимостта за повреждане на паметта, за да компрометира поверителността, целостта и наличността. Организациите, използващи засегнати компоненти на SAP kernel, трябва да третират тази корекция за сигурност като спешен приоритет.
Друга критична уязвимост, CVE-2026-58240, засяга SAP NetWeaver Message Server. SAP Note 3759472 отстранява липсата на проверка за автентификация с CVSS оценка 9.8. Проблемът засяга KERNEL версии 9.16, 9.18, 9.19 и 9.20.
Успешната експлоатация би могла да позволи на атакуващ без валидни идентификационни данни да достъпи или взаимодейства с открити услуги, създавайки сериозен риск за SAP средите.
Актуализации за сигурност от SAP за септември 2026 г.
SAP също така коригира CVE-2026-76969 – критична уязвимост за разкриване на идентификационни данни в мултитенантни приложения, използващи библиотеката sap/cds-mtxs от SAP Cloud Application Programming Model.
Уязвимостта има CVSS оценка 9.4 и засяга версии до 1.18.3, 2.7.6, 3.9.6 и 4.0.2. Разработчиците и облачните администратори трябва бързо да обновят засегнатите зависими библиотеки, особено когато обработват данни на наематели (tenants) и идентификационни данни за приложения.
Четвърти критичен проблем, CVE-2026-66768, засяга SAP GUI for Java в SAP NetWeaver. Уязвимостта, свързана с неправилен контрол на достъпа, отстранена чрез SAP Note 3781729, има CVSS оценка 9.0. Тя засяга BC-FES-JAV 8.10 и би могла да позволи на атакуващ с ниски привилегии да получи неоторизиран достъп след взаимодействие с потребителя.
Пакетът от септември съдържа и корекции с висока степен на опасност, включително CVE-2026-76958 – XXE уязвимост с оценка 8.5 в SAP Integration Suite Trading Partner Management, която би могла да изложи на риск чувствителни файлове, да даде възможност за заявки от страна на сървъра (SSRF) или да наруши обработката на XML.
SAP отстрани и небезопасна десериализация в SAP NetWeaver Business Client, повреждане на паметта в SAP NetWeaver Application Server for ABAP и ABAP Platform, както и CRLF инжектиране в SAP Commerce Cloud Search and Navigation.
Компанията пусна и актуализация за CVE-2026-58243 – уязвимост с висока степен на опасност за ескалация на привилегии в SAP ABAP Developer Tools, първоначално адресирана по време на бюлетина за сигурност от август 2026 г.
| SAP Note | CVE | Уязвимост | Засегнат продукт/версии | Приоритет |
|---|---|---|---|---|
| 3747649 | CVE-2026-44756 | Memory corruption | SAP Extended Passport (EPP) ProcessingKRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53, 8.04; WEBDISP: 9.16, 9.18, 9.19, 9.20; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20 | Critical |
| 3759472 | CVE-2026-58240 | Missing authentication check | SAP NetWeaver Message ServerKERNEL: 9.16, 9.18, 9.19, 9.20 | Critical |
| 3798315 | CVE-2026-76969 | Credential disclosure in multitenant CAP applications | SAP CAP library sap/cds-mtxsVersions: ≤1.18.3, ≤2.7.6, ≤3.9.6, ≤4.0.2 | Critical |
| 3781729 | CVE-2026-66768 | Improper access control | SAP NetWeaver SAP GUI for JavaBC-FES-JAV: 8.10 | Critical |
| 3772411 | CVE-2026-58243 | Privilege escalation — updated August note | SAP ABAP Developer ToolsSAP_BASIS: 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 918, 920 | High |
| 3792978 | CVE-2026-76958 | XML External Entity (XXE) | SAP Integration SuiteCloud Integration – Trading Partner Management V2: 2.9.2; B2B Integration Factory – Cloud Integration – Trading Partner Management: 1.10.0 | High |
| 3784138 | CVE-2026-76967 | Insecure deserialization | SAP NetWeaver Business ClientBC-WD-CLT-BUS: 8.00, 8.10 | High |
| 3757002 | CVE-2026-66767 | Memory corruption | SAP NetWeaver AS for ABAP and ABAP PlatformKRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53, 8.04; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20 | High |
| 3791068 | CVE-2026-2332 | CRLF injection through Jetty components | SAP Commerce Cloud Search and NavigationCOM_CLOUD: 2211, 2211-JDK21 | High |
| 3750721 | CVE-2026-76968 | Information disclosure | SAP Web Dispatcher, Internet Communication Manager, and SAP Content ServerKRNL64NUC: 7.22, 7.22EXT; KRNL64UC: 7.22, 7.22EXT, 7.53; WEBDISP: 7.22_EXT, 7.53, 7.54, 7.77, 7.93, 9.16; CONTSERV: 7.53, 7.54; KERNEL: 7.22, 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19, 9.20 | Medium |
| 3756450 | CVE-2026-44766 | SQL injection | SAP S/4HANA Intercompany Matching and ReconciliationSAPSCORE: 136; S4CORE: 104, 105, 106, 107, 108, 109 | Medium |
| 3786489 | CVE-2026-76971 | Server-Side Request Forgery (SSRF) | SAP Manufacturing Integration and IntelligenceXMII: 15.4, 15.5 | Medium |
| 3787345 | CVE-2026-34477 | Security misconfiguration due to Apache Log4j | SAP Commerce Cloud Search and NavigationCOM_CLOUD: 2211, 2211-JDK21 | Medium |
| 3783189 | CVE-2026-76977 | Clickjacking | SAPUI5 Frame Options AllowlistSAP_UI: 750, 754, 755, 756, 757, 758, 816; UI_700: 200 | Medium |
| 3365276 | CVE-2026-76960 | Cross-Site Request Forgery (CSRF) | SAP S/4HANA Finance for Advanced Payment ManagementS4CORE: 105, 106, 107 | Medium |
| 3371336 | CVE-2026-76961 | Cross-Site Request Forgery (CSRF) | SAP S/4HANA Finance for Advanced Payment ManagementS4CORE: 108 | Medium |
| 3365311 | CVE-2026-76959 | Cross-Site Request Forgery (CSRF) | SAP S/4HANA Finance for Advanced Payment ManagementUIAPFI70: 800, 900, 901, 902 | Medium |
| 3657599 | CVE-2026-76962 | Missing authorization check | SAP S/4HANA Manage Bank Chains appS4CORE: 107, 108, 109 | Medium |
| 3772838 | CVE-2026-76963 | Missing authorization check | SAP NetWeaver and ABAP PlatformSAP_BASIS: 700, 701, 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758 | Medium |
| 3736494 | CVE-2026-58234 | Denial of service | SAP Process Integration SOAP AdapterMESSAGING: 7.50; SAP_XIAF: 7.50 | Low |
Корекциите със средна степен на опасност покриват уязвимости като SQL инжектиране, заявки от страна на сървъра (SSRF), кликджакинг, подправяне на междусайтови заявки (CSRF), разкриване на информация, заобикаляне на оторизацията и проблеми с неправилна конфигурация за сигурност, свързани с Apache Log4j. SAP отстрани и уязвимост за отказ на услуга (DoS) с ниска степен на опасност в SAP Process Integration SOAP Adapter.
Администраторите на SAP трябва да прегледат всички съответни бюлетини за сигурност в SAP Support Portal, да ги съпоставят с внедрените продуктови версии, да тестват корекциите за сигурност съгласно процедурите за управление на промените и да ги приложат възможно най-скоро.
Достъпните през интернет услуги на SAP, екземплярите на NetWeaver Message Server, средите с облачни зависимости и системите, обработващи чувствителни бизнес данни, трябва да получат приоритетно внимание.