SAP пусна актуализации за сигурност, за да отстрани множество уязвимости, включително дефект с максимално ниво на опасност в обработката на SAP Extended Passport (EPP), който може да окаже сериозно въздействие върху поверителността, целостта и наличността на приложението.

Уязвимостта, проследявана като CVE-2026-44756 (оценка по CVSS: 10.0), се описва като повреда на паметта (memory corruption). Открита и докладвана от компанията за сигурност на SAP Onapsis, тя получава кодовото име OVERPASS.

Дефектът, който се намира в обработката на Extended Passport (EPP) в ядрото на SAP, може да се експлоатира отдалечено и без автентикация, като позволява на злонамерени субекти да изпълняват произволни команди на ниво операционна система върху хоста на SAP с администраторски привилегии, което води до пълно компрометиране на основните бизнес данни и процеси на SAP.

CVE-2026-44756 произтича от липса на валидация на границите при десериализация на EPP данни, което води до нарушаване на безопасността на паметта при обработка на външно подадени полета за дължина. Неавтентикиран атакуващ може да експлоатира този пропуск, като изпрати специално форматирани мрежови заявки, съдържащи некоректен EPP хедър, и предизвика непредвидено поведение и аварийно прекратяване на програмата.

„OVERPASS е дефект в кода на ядрото на SAP, който обработва тази структура. Специално създадена заявка, изпратена до засегната система, може да бъде използвана за поемане на контрол над приемащия процес и оттам – за изпълнение на команди на операционната система върху хоста“, заяви техническият директор на Onapsis JP Perez-Etchegoyen.

„Тъй като обработката на EPP е споделен код в ядрото, използван от повече от един протокол, дефектът е достъпен от уеб слоя, свързан с интернет, от слоя SAP GUI, към който се свързва всеки краен потребител, и от RFC слоя, който свързва SAP системите помежду им. Той е достъпен през няколко SAP компонента и комуникационни протокола, като никой от тях не изисква идентификационни данни, така че нито един отделен мрежов контрол не може напълно да смекчи риска.“

Успешната експлоатация може да позволи на атакуващ да прочете защитеното хранилище на SAP (SAP secure store), за да извлече идентификационни данни за бази данни, хешове на пароли и всички съхранявани бизнес данни; да чете сесийните данни в реално време на влезлите потребители; да извлече съхранени идентификационни данни за странично придвижване (lateral movement) към всяка друга SAP система; както и да модифицира данни на приложението, системната конфигурация и двоичните файлове на SAP.

Втората критична уязвимост, коригирана от SAP, е CVE-2026-58240 (оценка по CVSS: 9.8) – липсваща проверка за автентикация в SAP NetWeaver Message Server, която неавтентикирани атакуващи с мрежов достъп могат да експлоатират за извършване на неупълномощени действия. Onapsis, която също така откри уязвимостта, ѝ присвои името S4GET.

„S4GET е логически дефект, а не неправилна конфигурация“, каза изследователят по сигурност Pablo 'Partu' Agustin Artuso. „Той присъства в 9.x линиите на ядрото на SAP – ядрата, на които работят SAP S/4HANA и SAP S/4HANA Cloud Private Edition, както и потенциално други продукти, базирани на ABAP.“

„Това, което я прави изключително опасна, е нейната достъпност: дефектът се задейства през същия публичен порт, към който се свързва всеки SAP GUI клиент, така че не може да бъде изолиран чрез защитна стена, без да се прекъсне входът на крайните потребители. Експлоатацията не изисква идентификационни данни, сертификат или предварително съществуваща неправилна конфигурация. Успешната атака води до пълно отдалечено изпълнение на код като <sid>adm – потребителят на ниво ОС, който изпълнява SAP, на всеки сървър за приложения в клъстера.“

Други две уязвимости в сигурността с критичен рейтинг, отстранени от SAP, са следните:

  • CVE-2026-76969 (оценка по CVSS: 9.4) – Уязвимост, водеща до разкриване на идентификационни данни в мултитенант приложения, използващи SAP Cloud Application Programming Model (CAP), която позволява на неавтентикиран атакуващ да получи чувствителни данни за вход чрез изпращане на специално създадени заявки и след това да ги използва за замяна или изтриване на клиентски данни.
  • CVE-2026-66768 (оценка по CVSS: 9.0) – Уязвимост от тип неправилен контрол на достъпа в SAP NetWeaver SAP GUI за Java, която позволява изпълнение на произволни команди върху основния хост.

Въпреки че нито една от уязвимостите в сигурността не е била експлоатирана до момента, критичността на дефектите изисква незабавно внимание. Onapsis препоръчва на потребителите да направят одит на всяка SAP система, да инсталират корекции за сигурност първо на системите, свързани с интернет, преди вътрешните инстанции, да намалят излагането на риск, където е възможно, и да следят за опити за експлоатация.

„Уверете се, че имате видимост върху вашия слой за приложения на SAP, така че опитите за експлоатиране на тази уязвимост да могат да бъдат открити и разследвани, докато процесът по обновяване е в ход“, заяви Perez-Etchegoyen относно CVE-2026-44756.

„Важно е ясно да се подчертае едно: разрешенията в SAP и контролите за разделение на отговорностите (SoD) няма да помогнат. Уязвимият код се изпълнява преди каквато и да е стъпка по автентикация, така че блокирането на потребители, затягането на роли, налагането на политики за пароли или ограничаването на достъпа до транзакции нямат ефект срещу този вектор на атака.“