SAP публикува своя пакет от обновления за сигурност за октомври 2026 г., отстранявайки критични слабости, свързани с инжектиране на код, контрол на достъпа и облачна сигурност, както и проблем с висока степен на опасност, причиняващ повреждане на паметта.
Изданието от 13 октомври включва 16 нови бележки за сигурност, четири препоръки за сигурност в GitHub и две актуализации на по-ранни бележки. Четири от позициите са с критичен рейтинг, което прави този цикъл от корекции за сигурност изключително важен за екипите, управляващи бизнес системи на SAP.
Според октомврийския бюлетин на SAP корекциите за сигурност обхващат S/4HANA, NetWeaver, Web Dispatcher, Commerce Cloud и няколко библиотеки за разработка.
Въпреки че заглавието поставя акцент върху критичните уязвимости, грешката, водеща до повреждане на паметта, е оценена като висока, а не като критична. Нейното публикувано въздействие се изразява в прекъсване на услугата, а не в потвърдено изпълнение на код или кражба на данни.
Във всички 22 позиции SAP изброява четири критични, три с висока, 14 със средна и една с ниска степен на опасност, включително двете актуализирани бележки и четирите бюлетина за библиотеки.
Уязвимости в сигурността на SAP
CVE-2026-89107 има CVSS оценка 9.9 и засяга функцията Manage Substitution/Validation Rules в SAP S/4HANA. SAP посочва версии на S4CORE 105, 106, 107, 108 и 109 като засегнати, като корекцията се предоставя чрез Security Note 3805589.
Слабостта се корени в начина, по който функцията за дефиниране на правила проверява входните данни, написани на скриптов език, използван за бизнес правила. Удостоверен атакуващ със специфични бизнес привилегии може да подаде модифицирани входни данни, които системата третира като изпълним ABAP код – езикът за програмиране на SAP.
Успешната експлоатация може да предостави на атакуващия широк контрол върху засегнатата система с тежки последици за поверителността на данните, тяхната коректност и наличността на услугата. Атаката изисква профил с подходящи бизнес права, но публикуваният вектор по CVSS показва ниска сложност на атаката и липса на необходимост от взаимодействие с друг потребител.
CVE-2026-58249 засяга компонента Internet Communication Manager в SAP NetWeaver и SAP Web Dispatcher. С оценка 7.5, уязвимостта се отстранява чрез Security Note 3765424. Отдалеченият атакуващ не се нуждае от автентикация, преди да изпрати злонамерена заявка.
Засегнатият софтуер не успява да провери правилно определени полета в манипулирани заявки, обработвани от вътрешен протоколен компонент. Това може да предизвика грешка при управлението на паметта и да срине засегнатия процес. Публикуваното описание отчита високо въздействие върху наличността, без въздействие върху поверителността или целостта.
Списъкът със засегнати версии на SAP обхваща HDB 2.00, множество издания на ядрото и Web Dispatcher, Content Server, XS Advanced Runtime и SAP Extended Application Services.
Администраторите трябва да сравнят инсталираните компоненти с пълния списък на производителя, вместо да предполагат, че всяка инсталация изисква същия пакет с обновления.
Проблемът с най-висок рейтинг е CVE-2026-89111 – слабост от тип подправяне на заявки от страна на сървъра (SSRF) при OAuth2 в SAP Cloud SDK for Python, с максимална оценка 10.0. Тя засяга версии преди 0.45.2.
В приложения, обслужващи множество наематели (multi-tenant) в SAP Business Technology Platform, атакуващ, който контролира параметъра tenant_subdomain, може да пренасочи заявките за токени към контролиран от него сървър и да разкрие идентификационните данни на клиента.
SAP коригира и CVE-2026-89110 – нарушен контрол на достъпа в NetWeaver Visual Composer VC70RUNTIME 7.50, оценена с 9.9. Друг критичен проблем, CVE-2026-89108, се отнася до липсваща проверка за оторизация в Configuration Service на Manufacturing Integration and Intelligence версии 15.4 и 15.5, с резултат 9.1.
| CVE ID | Засегнат продукт или компонент | Тип уязвимост | Засегнати версии | Ниво на опасност |
|---|---|---|---|---|
| CVE-2026-89111 | SAP Cloud SDK for Python | OAuth2 подправяне на заявки от страна на сървъра (SSRF) | Версии преди 0.45.2 | Критична |
| CVE-2026-89110 | SAP NetWeaver Visual Composer | Нарушен контрол на достъпа | VC70RUNTIME 7.50 | Критична |
| CVE-2026-89107 | SAP S/4HANA — Manage Substitution/Validation Rules | Инжектиране на код | S4CORE 105, 106, 107, 108, 109 | Критична |
| CVE-2026-89108 | SAP Manufacturing Integration and Intelligence — Configuration Service | Липсваща проверка за оторизация | XMII 15.4, 15.5 | Критична |
| CVE-2026-89113 | SAP Commerce Cloud — OOTB Code | SQL инжектиране | COM_CLOUD 2211-JDK21 | Висока |
| CVE-2026-58249 | SAP NetWeaver and SAP Web Dispatcher — Internet Communication Manager | Повреждане на паметта | HDB 2.00; KRNL64UC 7.53; WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; CONTSERV 7.53, 7.54; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19, 9.20 | Висока |
| CVE-2026-89120 | SAP ABAP Platform | Липсваща проверка за оторизация | KERNEL 7.93, 9.16 | Висока |
| CVE-2026-89112 | CLA-Assistant | Нарушен контрол на достъпа, разкриващ лични данни от CLA подписи | Версии 2.13.1 и по-ранни | Средна |
| CVE-2026-76972 | SAP Manufacturing Integration and Intelligence | Междусайтово скриптиране (XSS) | XMII 15.4, 15.5 | Средна |
| CVE-2026-24316 | SAP NetWeaver Application Server for ABAP | Подправяне на заявки от страна на сървъра (SSRF) | SAP_BASIS 740, 750, 752, 753, 754, 755, 756, 757, 758, 816, 918 | Средна |
| CVE-2025-42938 | SAP NetWeaver ABAP Platform | Междусайтово скриптиране (XSS) | S4CRM 100, 200, 204, 205, 206; S4CEXT 107, 108; BBPCRM 713, 714 | Средна |
| CVE-2026-89117 | SAP NetWeaver Enterprise Portal | Междусайтово скриптиране (XSS) | EP-ADMIN 7.50 | Средна |
| CVE-2026-76975 | SAPUI5 — Support Assistant Overlay | Междусайтово скриптиране (XSS) | SAP_UI 754 | Средна |
| CVE-2026-89122 | SAP NetWeaver Enterprise Portal | Отворено пренасочване | EP-RUNTIME 7.50 | Средна |
| CVE-2026-89116 | Yeoman-UI / Application Wizard Extension for VS Code | Инжектиране на команди в операционната система | yeoman-ui 1.25.1 и по-ранни | Средна |
| CVE-2026-76976 | SAP NetWeaver Application Server ABAP — SAP GUI for HTML applications | Междусайтово скриптиране (XSS) | SAP_BASIS 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816 | Средна |
| CVE-2026-89118 | SAP NetWeaver Enterprise Portal | Разкриване на информация | EP-RUNTIME 7.50 | Средна |
| CVE-2026-89121 | SAP S/4HANA — Linear Asset Management RAP Business Object | Липсваща проверка за оторизация | S4CORE 109 | Средна |
| CVE-2026-89106 | SAPUI5 | Междусайтово скриптиране (XSS) | SAP_UI 750, 754, 755, 756, 757, 758, 816; UI_700 200 | Средна |
| CVE-2026-89124 | SAP Global Trade Services, edition for SAP HANA — Display Product Catalog Based on Customs Declaration | Липсваща проверка за оторизация | GTSCORE 200, 300 | Средна |
| CVE-2026-89105 | SAP Cloud Security Services Integration Library — HybridTokenAuthenticator | Неправилна автентикация | Версии 3.6.6 и по-нови, но преди 4.1.1 | Средна |
| CVE-2026-58242 | SAP Cloud Connector | Неправилна проверка за оторизация | SAP_CLOUD_CONNECTOR 2.0 | Ниска |
Предишни доклади за zero-day уязвимостта в SAP NetWeaver, експлоатирана в реални условия, показаха как слабостите във Visual Composer се превърнаха в път за проникване в корпоративните мрежи.
Cyber Security News отрази и предупреждението на CISA относно експлоатираната слабост в SAP. Тези доклади обаче се отнасят за CVE-2025-31324, а не за доказателства, че новоразкритите уязвимости се експлоатират в момента.
SAP настоятелно призовава клиентите да инсталират корекциите за сигурност с приоритет. Екипите трябва да идентифицират засегнатите продукти, да се запознаят със съответните бележки за сигурност и да планират обновленията съобразно нуждите на бизнеса.
Потребителите на Cloud SDK трябва да преминат към версия 0.45.2 или по-нова и да проверят кои приложения използват засегнатата библиотека. Изданието също така отстранява SQL инжектиране в Commerce Cloud, пропуски в оторизацията в ABAP Platform и няколко дефекта, свързани с междусайтово скриптиране.
Двете преработени бележки обхващат по-ранни проблеми със SSRF и скриптове. Тези актуализации трябва да останат част от прегледа на корекциите за сигурност, дори когато критичните поправки са с предимство.