Октомврийските актуализации на SAP включват уязвимост с максимална степен на сериозност в Cloud SDK for Python, която позволява на отдалечен атакуващ да извлече идентификационни данни без предварителни привилегии.
SAP отстрани 20 уязвимости в различни свои продукти с октомврийския пакет за сигурност за 2026 г. Сред тях е пропуск с максимална степен на сериозност в SAP Cloud SDK for Python, който може да изложи на риск удостоверенията за достъп до облачни услуги и приложения.
Уязвимостта е регистрирана като CVE-2026-89111 и засяга многонаемателни приложения в SAP Business Technology Platform (BTP). SDK инструментариумът се използва за разработване на приложения на Python и ИИ агенти, работещи с услугите на платформата.
OAuth2 уязвимост може да доведе до кражба на удостоверения
Проблемът произтича от уязвимост тип SSRF (Server-Side Request Forgery) в механизма за OAuth2 удостоверяване. Атакуващ, който контролира параметъра tenant_subdomain, може да пренасочи заявките за OAuth2 токени към сървър под свой контрол.
Това създава възможност за извличане на клиентски удостоверения, без нападателят да се нуждае от предварителни привилегии. Рискът е особено важен за многонаемателните приложения, при които една и съща инфраструктура обслужва множество клиенти или организации.
SAP препоръчва засегнатите потребители да приложат официалните актуализации възможно най-скоро. Като временна мярка за ограничаване на риска организациите могат да използват списък с разрешени стойности, чрез който да валидират tenant_subdomain спрямо предварително известните поддомейни на регистрираните наематели, преди параметърът да бъде подаден към SDK.
Още две критични уязвимости в корпоративни системи
Октомврийският пакет включва и други сериозни проблеми в продукти на SAP.
- CVE-2026-89110 – SAP NetWeaver Visual Composer: уязвимост в контрола на достъпа, която може да позволи на отдалечен атакуващ с ограничени привилегии да компрометира напълно засегната система.
- CVE-2026-89108 – SAP Manufacturing Integration and Intelligence: пропуск, чрез който атакуващ с администраторски права може да създаде акаунт с повишени привилегии в базовото Java приложение и да получи административен контрол върху системата.
Тези случаи показват, че рискът не се ограничава до една технологична област. Уязвимостите в механизмите за удостоверяване, контрола на достъпа и управлението на привилегиите могат да засегнат както облачните приложения, така и системите, използвани в производствени и корпоративни среди.
Предишни уязвимости показват риска от забавени актуализации
Последните месеци донесоха няколко други сериозни уязвимости в продуктите на SAP. През август компанията отстрани CVE-2026-58231 в облачната платформа Commerce Cloud. Дни след публикуването на корекцията компанията за разузнаване на заплахи Defused съобщи, че пропускът се използва при атаки.
През септември SAP коригира и уязвимост в паметта на SAP Kernel, известна като OVERPASS. Според оценки на специалистите от Onapsis по това време повече от 10 000 достъпни през интернет SAP системи използват засегнатия компонент и потенциално могат да бъдат изложени на атаки.
Данните от каталога Known Exploited Vulnerabilities на американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) също подчертават значението на тези рискове. От ноември 2021 г. насам агенцията е включила 14 уязвимости на SAP в каталога си с известни експлоатирани пропуски, като три от тях са били използвани при атаки с ransomware.
Какво трябва да направят организациите
SAP е ключов доставчик на корпоративен софтуер – компанията обслужва 99 от 100-те най-големи предприятия в света и отчете приходи над 36 млрд. евро за финансовата 2025 г. Поради широкото разпространение на платформите ѝ уязвимостите могат да имат значителни последици за бизнеса.
Администраторите трябва да прегледат октомврийските бюлетини за сигурност и да установят дали използват засегнатите версии и компоненти. Приоритет следва да имат системите, достъпни през интернет, както и приложенията, които обработват удостоверения за достъп или обслужват множество клиенти.
Когато незабавното инсталиране на корекциите е невъзможно, временните мерки трябва да бъдат приложени според указанията на производителя. При CVE-2026-89111 това включва валидиране на tenant_subdomain чрез списък с разрешени стойности. Подобна мярка обаче не заменя официалната актуализация.
За организациите, които разчитат на SAP, навременното управление на корекциите е пряка мярка за ограничаване на риска от компрометиране на корпоративни данни, облачни услуги и критични бизнес процеси.
