SAP, patch-uri octombrie 2026: SSRF OAuth2 CVSS 10 în Cloud SDK

Marți, 13 octombrie 2026, SAP a publicat Security Patch Day-ul lunar. Cea mai gravă problemă este CVE-2026-89111, o vulnerabilitate de tip SSRF (Server-Side Request Forgery) în gestionarea tokenurilor OAuth2 din SAP Cloud SDK pentru Python, cu scorul CVSS 10, maximul posibil. Pe lângă aceasta, SAP a corectat alte trei vulnerabilități critice, în NetWeaver Visual Composer, S/4HANA și Manufacturing Integration and Intelligence (MII).

Sursele nu coincid în privința numărului total: SecurityWeek vorbește despre 22 de note de securitate noi sau actualizate, dintre care patru critice, iar BleepingComputer raportează 20 de vulnerabilități corectate. Diferența poate veni din faptul că o notă nu corespunde întotdeauna unei singure vulnerabilități. În aceeași zi, Canadian Centre for Cyber Security a publicat avizul AV26-1030, cu lista produselor și versiunilor afectate.

Ce s-a întâmplat

Potrivit SecurityWeek, care citează avizul publicat de SAP pe GitHub, CVE-2026-89111 afectează aplicațiile multi-tenant de pe SAP Business Technology Platform (BTP) construite cu Cloud SDK pentru Python. Un atacator care controlează parametrul tenant_subdomain poate redirecționa cererile de tokenuri OAuth2 către un server aflat sub controlul său: astfel aplicația îi predă propriile credențiale de client (client ID și secret). Cu aceste credențiale, atacatorul poate cere tokenuri în numele aplicației.

Potrivit SecurityWeek, SAP nu semnalează exploatări active pentru niciuna dintre vulnerabilitățile corectate în acest ciclu.

Detalii tehnice

Vulnerabilitățile critice, cu datele raportate de SecurityWeek (care pentru trei dintre ele citează firma de securitate Onapsis) și versiunile indicate de Canadian Centre:

• CVE-2026-89111 (CVSS 10), SSRF OAuth2 în Cloud SDK pentru Python. Afectează aplicațiile BTP multi-tenant; Canadian Centre indică drept vulnerabile versiunile SAP Cloud SDK anterioare versiunii 0.45.2.
• CVE-2026-89110 (CVSS 9.9), control al accesului defectuos în unele funcții ale portalului NetWeaver Visual Composer (VC70RUNTIME 7.50). Potrivit Onapsis, un atacator cu privilegii reduse poate invoca operațiuni interne pe un sistem la distanță deja configurat și îl poate compromite complet.
• CVE-2026-89107 (CVSS 9.9), injecție de cod în S/4HANA, în funcția Manage Substitution/Validation Rules (S4CORE 105, 106, 107, 108 și 109). Procesul de definire a regulilor nu validează datele de intrare: un utilizator autentificat cu un anumit rol de business în aplicațiile Fiori poate trimite date manipulate și poate executa cod ABAP arbitrar, până la preluarea controlului asupra sistemului.
• CVE-2026-89108 (CVSS 9.1), verificare de autorizare lipsă în Manufacturing Integration and Intelligence (Configuration Service, versiunile 15.5 și XMII 15.4). Cine are privilegii XMII Admin poate crea un cont de administrator pe serverul de aplicații Java de dedesubt și poate compromite sistemul.

Printre vulnerabilitățile de gravitate ridicată, SecurityWeek menționează defecte în Commerce Cloud, NetWeaver și ABAP Platform care permit injecție SQL, oprirea unor procese și ocolirea unor restricții, fără a indica codurile CVE. Canadian Centre enumeră printre produsele afectate și:

• SAP Commerce Cloud (OOTB Code), versiunea COM_CLOUD 2211-JDK21;
• SAP NetWeaver și SAP Web Dispatcher (Internet Communication Manager), versiunile HDB 2.00, KRNL64UC 7.53, WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1, CONTSERV 7.53, 7.54, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.19 și 9.20.

În termeni MITRE ATT&CK, exploatarea aplicațiilor accesibile din exterior corespunde în general tehnicii T1190 (Exploit Public-Facing Application), folosirea credențialelor de client furate tehnicii T1078.004 (Valid Accounts: Cloud Accounts), iar crearea unui administrator pe MII tehnicii T1136 (Create Account). Sursele disponibile nu oferă indicatori de compromitere.

Impactul pentru companiile europene și italiene

SAP este nucleul de gestiune al multor companii din producție, distribuție și sănătate. Trei dintre cele patru vulnerabilități critice necesită un acces inițial, chiar și cu privilegii reduse: riscul principal vine deci din conturi interne compromise sau din utilizatori cu roluri mai largi decât e necesar. CVE-2026-89111 este diferită: afectează codul aplicațiilor dezvoltate pe BTP și, prin urmare, pe oricine dezvoltă extensii sau servicii multi-tenant, inclusiv prin furnizori externi.

Pentru entitățile care intră sub incidența NIS2 (în Italia, Decretul legislativ 138/2024), gestionarea vulnerabilităților și securitatea lanțului de aprovizionare fac parte din măsurile cerute: merită să întrebi furnizorii care dezvoltă aplicații BTP dacă folosesc Cloud SDK pentru Python și când îl vor actualiza. Un eventual furt de credențiale de client trebuie evaluat pentru notificarea către CSIRT-ul național, în Italia CSIRT Italia al ACN.

Ce trebuie să faci acum

1. Caută Cloud SDK pentru Python în dependențele aplicațiilor tale BTP, inclusiv în cele dezvoltate de terți, și actualizează-l la 0.45.2 sau o versiune ulterioară, verificând versiunea corectă în avizul SAP. Apoi recompilează și redistribuie aplicațiile.
2. Ia în calcul rotirea secretelor clienților OAuth2 folosiți de aplicațiile multi-tenant expuse, dacă nu poți exclude că au fost furate înainte de actualizare.
3. Verifică jurnalele aplicațiilor și traficul de ieșire: cererile de tokenuri către alte gazde decât serviciul de autentificare prevăzut sunt un semnal de investigat.
4. Aplică notele din octombrie pentru NetWeaver Visual Composer, S/4HANA (S4CORE 105–109) și MII, apoi pentru Commerce Cloud, kernelul NetWeaver și Web Dispatcher, începând cu sistemele accesibile din internet.
5. Redu privilegiile până la aplicarea patch-urilor: verifică cine are rolul pentru definirea regulilor de substituție și validare în S/4HANA și cine are privilegii XMII Admin pe MII.
6. Verifică conturile de administrator ale serverelor de aplicații Java care găzduiesc MII, căutând utilizatori creați recent și neprevăzuți.

Cum te ajută ARXDOME

ARX Shield afișează vulnerabilitățile deschise pe mașină și pe pachet pentru mașinile monitorizate, împreună cu vechimea lor: te ajută să urmărești sistemele care mai trebuie actualizate. ARX Expose arată ce servicii expune compania ta pe internet și ce produse sunt recunoscute pe ele, util ca să afli dacă un Web Dispatcher sau un portal SAP este accesibil din exterior. ARX Sentry, în paginile SOC dedicate identităților, arată accesele privilegiate și modificările conturilor.

Ultima actualizare: 14 octombrie 2026