אבטחה · 16 באוקטובר 2026
SAP מתריעה על פגיעות אבטחה בחומרה מקסימלית ב-OAuth2 SSRF
חברת SAP טיפלה ב-20 פגיעות אבטחה במוצרים מרובים במסגרת עדכוני האבטחה שלה לאוקטובר 2026, כולל פגיעות ברמת חומרה מקסימלית ב-Cloud SDK עבור Python.
הפגיעות בעלת החומרה המקסימלית, המזוהה כ-CVE-2026-89111, עשויה להיות מנוצלת על ידי תוקפים מרוחקים ללא הרשאות לצורך גניבת אישורי גישה. פגיעות זו ב-SAP Cloud SDK עבור Python משפיעה על יישומים רב-דיירים ב-BTP. תוקף השולט בפרמטר tenant_subdomain יכול להפנות בקשות לאסימוני OAuth2 לשרת בשליטתו, מה שגורם לדליפת אישורי לקוח.
לקוחות שאינם יכולים להטמיע את תיקוני האבטחה של אוקטובר 2026 באופן מיידי יכולים להקל על הבעיה באופן זמני באמצעות שימוש ברשימה מאושרת לאימות ערכי tenant_subdomain לפני העברתם לקריאת SDK.
בנוסף, SAP טיפלה ב-CVE-2026-89110, פגיעות קריטית של בקרת גישה שבורה ב-SAP NetWeaver Visual Composer. פגיעות זו עשויה לאפשר לתוקפים מרוחקים עם הרשאות מוגבלות להשיג פשרה מלאה על מערכות פגיעות. פגיעות קריטית נוספת תוקנה ב-SAP Manufacturing Integration and Intelligence, המזוהה כ-CVE-2026-89108, ומאפשרת לגורמי איום עם הרשאות מנהל להשיג שליטה מנהלית על המערכת הבסיסית על ידי הקצאת חשבון בעל הרשאות גבוהות באפליקציית Java הבסיסית.
בחודשים האחרונים תיקנה SAP פגיעות נוספות בחומרה מקסימלית. באוגוסט תוקנה פגיעות ב-Commerce Cloud, המזוהה כ-CVE-2026-58231, שסומנה ככזו שניצלה באופן פעיל. בספטמבר תוקנה פגיעות של שיבוש זיכרון בקוד של SAP Kernel, המזוהה כ-CVE-2026-44756. לפי הערכות, למעלה מ-10,000 מערכות SAP הפונות לאינטרנט משתמשות ברכיב הפגיע הזה.
סוכנות אבטחת הסייבר ותשתיות המידע של ארצות הברית, CISA, הוסיפה 14 פגיעות אבטחה של SAP לקטלוג הפגיעות המנוצלות באופן פעיל מאז נובמבר 2021, כאשר שלוש מהן נוצלו במתקפות כופר.