SAP отстрани 20 уязвимости в множество продукти в своите актуализации за сигурност за септември 2026 г., включително грешка в кода на SAP Kernel с максимална степен на опасност, водеща до компрометиране на паметта.

Уязвимостта се следи под идентификатор CVE-2026-44756 и е наречена „OVERPASS“ от изследователите по сигурността от Onapsis, които са я докладвали. Тя произтича от класическа грешка от тип препълване на буфера в библиотеката за обработка на Extended Passport Protocol (EPP).

Успешното експлоатиране позволява на непривилегировани атакуващи да изпълняват произволни команди на засегнатите хостове на SAP с администраторски привилегии, което води до пълно компрометиране на основните процеси и бизнес данни в SAP.

Грешката може да бъде експлоатирана през SAP Internet Communication Manager (ICM) — мрежовият компонент на SAP Application Server, който свързва SAP системата (SAP NetWeaver Application Server) с интернет чрез HTTP, HTTPS и SMTP.

Според оценките на Onapsis повече от 10 000 системи на SAP с достъп до интернет използват уязвимия компонент и са потенциално изложени на атаки, експлоатиращи уязвимостта CVE-2026-44756.

„Целево търсене с използване на високопрецизни цифрови отпечатъци идентифицира над 10 000 уникални IP адреса с достъп до интернет, които показват уеб интерфейс на SAP, достъпен от публичното интернет пространство, и тази цифра е консервативна“, заяви във вторник техническият директор на Onapsis ЖП Перес-Ечегойен.

„Тя включва само системи, достъпни през HTTP, и значително подценява броя на SAP Web Dispatcher, който проксира своя бекенд и не връща разпознаваем баннер на SAP в основния си път, което прави структурно трудно идентифицирането му от сканери в целия интернет.“

S4GET, логическа грешка в NetWeaver Message Server на SAP

Днес SAP отстрани и CVE-2026-58240 — критична уязвимост с липсваща автентификация в SAP NetWeaver Message Server, наречена „S4GET“ от Onapsis Research Labs.

След успешно експлоатиране неавтентикирани атакуващи могат да получат достъп до целия клъстер от системи на SAP и да изпълняват злонамерен код и произволни команди отдалечено през мрежата.

„Грешката се задейства през същия публичен порт, към който се свързва всеки клиент на SAP GUI, така че тя не може да бъде блокирана със защитна стена, без това да прекъсне влизането на крайните потребители“, обяснява изследователят по сигурността от Onapsis Пабло Артусо.

„Експлоатацията не изисква идентификационни данни, сертификат или предварително налични грешки в конфигурацията. Успешната атака осигурява пълно отдалечено изпълнение на код като <sid>adm — потребителя на ниво операционна система, който управлява SAP, на всеки сървър за приложения в клъстера.“

Миналия месец SAP коригира друга уязвимост с максимална степен на опасност (CVE-2026-58231) в базираната в облака платформа за електронна търговия Commerce Cloud, за която компанията за разузнаване на заплахи Defused съобщи, че се експлоатира активно при атаки дни след като беше отстранена.

От ноември 2021 г. Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) е добавила 14 уязвимости в сигурността на SAP към своя списък с активно експлоатирани уязвимости, включително три, които са били използвани от банди за откупи (ransomware).

SAP е германска мултинационална софтуерна компания, която отчете общи приходи, надхвърлящи 36 милиарда евро през финансовата 2025 г., и предоставя услуги на 99 от 100-те най-големи компании в света.

След като атакуващите разполагат с валидни идентификационни данни, се блокират едва 37% от техните действия

Общите показатели за превенция могат да скрият какво се случва след първоначалния достъп. След като атакуващите започнат да използват валидни идентификационни данни, нивото на превенция спада рязко.

„The Blue Report 2026“ измерва защитните механизми техника по техника в 338 милиона симулации, проведени в реални производствени среди на клиенти.