Безопасность · 16 октября 2026 г.
SAP предупредил о критической уязвимости OAuth2 SSRF в Cloud SDK для Python
SAP сообщил о защите 20 уязвимостей во всех продуктах в обновлениях безопасности октября 2026 года, включая критическую уязвимость в Cloud SDK для Python. Уязвимость, отмеченная как CVE-2026-89111, относится к OAuth2 SSRF и позволяет удаленным злоумышленникам без привилегий похищать учетные данные. Уязвимость обнаружена в SAP Python SDK, официальном наборе инструментов для разработки AI-агентов и приложений на платформе SAP Business Technology Platform. По данным вторника, злоумышленник может перенаправить запросы OAuth2 на управляемый им сервер через параметр tenant_subdomain.
Для временного смягчения рекомендуется использовать allowlist для проверки tenant_subdomain. Также SAP исправил CVE-2026-89110, критическую уязвимость в доступе к SAP NetWeaver Visual Composer, и CVE-2026-89108 в SAP Manufacturing Integration and Intelligence, позволяющую получить админский контроль через повышение привилегий в Java-приложении. В последние месяцы SAP устранял несколько уязвимостей максимальной тяжести, включая CVE-2026-58231 в Commerce Cloud и CVE-2026-44756 в SAP Kernel, последняя из которых получила название OVERPASS.
По оценкам Onapsis, более 10 000 систем, доступных из интернета, подвержены атакам по CVE-2026-44756. CISA добавил 14 уязвимостей SAP в список активно эксплуатируемых уязвимостей с ноября 2021 года, включая три, использованные в ransomware-атаках. После получения действительных учетных данных только 37% действий блокируется, что снижает эффективность предотвращения после первоначального доступа. Blue Report 2026 оценил защиту по техникам в 338 млн симуляций в производственных средах клиентов.