SAP 2026. 42. heti frissítése: négy kritikus sérülékenység emelkedik ki a 20 CVE közül

A kiadás röviden

Az SAP 2026. 42. heti biztonsági frissítése a 2026. október 12. és 18. közötti időszakra terjed ki, és 20 CVE-t sorol fel az SAP portfóliójában. Négy kritikus, három magas, tizenkettő közepes, egy pedig alacsony besorolású. A frissítés a NetWeaver Enterprise Portal, a NetWeaver Visual Composer, az SAP S/4HANA, a Commerce Cloud, a Manufacturing Integration and Intelligence, az SAP Cloud SDK, az SAP ABAP Platform, az SAPUI5 és több kisebb összetevő esetében hoz változást. A heti csomag egyik CVE-je sem szerepel a CISA KEV listáján. A CVE-2026-89111-ről külön riasztás érhető el ezen a webhelyen.

A legfontosabbak

Az SAP Cloud SDK for Pythonban található CVE-2026-89111 a legmagasabb, 10,0 pontszámú tétel. Ez egy OAuth2 SSRF a több-bérlős SAP BTP-alkalmazásokban; a tenant_subdomain vezérlésével a támadó átirányíthatja az OAuth2 tokenkéréseket egy támadó által irányított kiszolgálóra, és kiszivárogtathatja a kliens hitelesítő adatait. A támadási vektor nem igényel semmilyen jogosultságot, és felhasználói interakciót sem; a nyilvános biztonsági közlemény adatai között nem szerepel javított verzió.

Az SAP S/4HANA Manage Substitution/Validation Rules funkciójában található CVE-2026-89107 kódinjektálási hiba, CVSS-értéke 9,9. Egy hitelesített, meghatározott üzleti jogosultságokkal rendelkező támadó olyan bemenetet adhat meg, amelyet a szabályfeldolgozó logika végrehajtható ABAP-kódként kezel; a biztonsági közlemény magas hatást ír le a bizalmasságra, az integritásra és a rendelkezésre állásra nézve. Az érintett verziók: S4CORE 105, 106, 107, 108 és 109.

Az SAP NetWeaver Visual Composerben (VC70RUNTIME 7.50) található CVE-2026-89110 hibás hozzáférés-szabályozásból eredő probléma, pontszáma szintén 9,9. Egy alacsony jogosultságú felhasználó belső műveleteket hívhat meg egy előre konfigurált távoli rendszeren, ami a távoli kapcsolat beállításaitól függően az adott rendszert is veszélyeztetheti.

Az SAP Manufacturing Integration and Intelligence Configuration Service-ben (XMII 15.4 és 15.5) található CVE-2026-89108 CVSS-értéke 9,1. A hiba hiányzó jogosultság-ellenőrzés: egy MII-adminisztrátor emelt jogosultságú fiókot kérhet az alapul szolgáló Java alkalmazáskiszolgálón, így a hatás az alkalmazáson túlra is kiterjed.

Az SAP Commerce Cloudban (COM_CLOUD 2211-JDK21) található CVE-2026-89113 magas súlyosságú SQL-injektálási hiba, pontszáma 8,8. Egy hitelesített felhasználó SQL-parancsokat injektálhat, és adatbázisadatokat olvashat, módosíthat vagy törölhet.

Az SAP NetWeaverben és az SAP Web Dispatcher Internet Communication Managerben található CVE-2026-58249 magas súlyosságú, 7,5 pontszámú memóriasérülési hiba. A hiba hitelesítés nélkül elérhető, és összeomlaszthatja az érintett folyamatot. Az érintett verziók közé tartozik a HDB 2.00, a KRNL64UC 7.53, a WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16 és az XS_ADVANCED_RUNTIME 1.00.

Az SAP ABAP Platformban (KERNEL 7.93 és 9.16) található CVE-2026-89120 magas súlyosságú, 7,1 pontszámú hiányzó jogosultság-ellenőrzés, amelyet egy API-regresszió vált ki; egy alacsony jogosultságú támadó megkerülheti a korlátozásokat, és magas integritási, valamint alacsony bizalmassági hatást érhet el.

Javítási sorrend

Az e heti prioritási sorrend:

1. Kezdje a hálózaton keresztül elérhető, hitelesítést nem igénylő hibákkal: CVE-2026-89111 (SAP Cloud SDK, CVSS 10) és CVE-2026-58249 (NetWeaver/Web Dispatcher ICM, CVSS 7,5). Mindkettő hitelesítő adatok nélkül kiváltható. A nyilvános közleményadatok nem sorolnak fel javított verziókat, ezért korlátozza a hálózati kitettséget, és kísérje figyelemmel az SAP biztonsági közleményeinek frissítéseit.
2. Ezután foglalkozzon a széles körű hatással járó, hitelesítést igénylő kritikus hibákkal: CVE-2026-89107 (S/4HANA Manage Substitution/Validation Rules), CVE-2026-89110 (NetWeaver Visual Composer) és CVE-2026-89108 (MII Configuration Service).
3. Ezt követően kezelje a magas súlyosságú adatbázis- és platformelemeket: CVE-2026-89113 (Commerce Cloud SQL-injektálás) és CVE-2026-89120 (ABAP Platform hiányzó jogosultság-ellenőrzés).
4. Végül a közepes és alacsony minősítésű tételeket a szokásos változtatási időablakok szerint javítsa – ideértve a NetWeaver Enterprise Portal XSS-ét és nyílt átirányítását, az SAPUI5 XSS-ét, az MII XSS-ét, a CLA-Assistant hibás hozzáférés-szabályozását és a yeoman-ui hibát.

A frissítésben szereplő egyik CVE sincs a CISA KEV listáján, így CISA KEV szerinti határidő nem vonatkozik rájuk.

A javításon túl

Egy olyan héten, amikor nincs aktív kihasználás, a döntési feladat a sorrend meghatározása: mely SAP-rendszerek érhetők el hitelesítő adatok nélkül, és mely üzleti folyamatokat szolgálnak ki. A SAP HANA biztonság és felhőalapú migráció folyamatosan feltérképezve és migrációra készen tartja az SAP-környezetet, a Virtuális CISO szolgáltatás (vCISO) pedig segít rangsorolni a kitettséggel kapcsolatos döntéseket az olyan hitelesítést nem igénylő útvonalaknál, mint a CVE-2026-89111 és a CVE-2026-58249.