SAP отстрани 20 уязвимости в сигурността в множество продукти в своя пакет от актуализации за сигурност от октомври 2026 г., включително критична уязвимост с максимална степен на опасност в Cloud SDK for Python.
SAP Python SDK е официалният програмен инструментариум за разработване на AI агенти и Python приложения за услугите на платформата SAP Business Technology Platform (BTP) на компанията.
Обозначена като CVE-2026-89111, уязвимостта с максимална степен на опасност, за която беше предоставена корекция за сигурност този месец, може да бъде експлоатирана от отдалечени атакуващи без предварителни привилегии за компрометиране и кражба на идентификационни данни.
Клиентите, които не могат веднага да инсталират октомврийските корекции за сигурност на SAP от 2026 г., могат временно да ограничат риска, като използват списък с разрешени стойности (allowlist) за валидиране на параметъра tenant_subdomain.
„SAP Cloud SDK for Python съдържа уязвимост от тип OAuth2 SSRF, засягаща многопотребителски (multi-tenant) BTP приложения. Атакуващ, който контролира параметъра tenant_subdomain, може да пренасочи заявките за OAuth2 токени към контролиран от него сървър, което води до източване на клиентските идентификационни данни“, се казва в официално предупреждение от вторник.
„Потребителските приложения могат да намалят риска от уязвимостта чрез валидиране на tenant_subdomain спрямо познат списък с разрешени регистрирани поддомейни, преди стойността да бъде подадена към което и да е извикване на SDK.“
Днес SAP също така коригира CVE-2026-89110 — критична уязвимост в контрола на достъпа (broken access control) в SAP NetWeaver Visual Composer, която би могла да позволи на отдалечени атакуващи с ограничени права да компрометират изцяло уязвимите системи.
Друга критична уязвимост, за която днес бе инсталирана корекция за сигурност в SAP Manufacturing Integration and Intelligence (проследявана като CVE-2026-89108), позволява на злонамерени субекти с администраторски привилегии да получат пълен администраторски контрол над базовата система чрез създаване на акаунт с повишени привилегии в ба baseHPвото Java приложение.
През последните месеци SAP отстрани няколко други уязвимости с максимална степен на опасност в различни компоненти. Например през август компанията коригира уязвимостта CVE-2026-58231 в базираната в облака платформа за електронна търговия Commerce Cloud, като компанията за анализ на киберзаплахи Defused съобщи, че тя е била активно експлоатирана при атаки само дни след пускането на корекцията.
По-наскоро, през септември, беше отстранен и проблемът с повреждане на паметта CVE-2026-44756 в кода на ядрото на SAP (SAP Kernel), наречен OVERPASS от изследователите по сигурността от Onapsis, които го докладваха. Според оценки на Onapsis към онзи момент над 10 000 SAP системи, достъпни през интернет, използват уязвимия компонент и могат да бъдат изложени на атаки, експлоатиращи CVE-2026-44756.
Американската агенция за киберсигурност и сигурност на инфраструктурата (CISA) е добавила 14 уязвимости в сигурността на SAP към своя каталог с активно експлоатирани уязвимости от ноември 2021 г. насам, три от които са били използвани в атаки с ransomware (рансъмуер).
SAP е германска мултинационална софтуерна компания, която обслужва 99 от 100-те най-големи компании в световен мащаб и отчете приходи от над 36 милиарда евро за фискалната 2025 година.