SAP biztonsági frissítés
Az SAP 2026. október 13-i biztonsági frissítése 16 új biztonsági figyelmeztetést, négy GitHub-tanácsot és két korábbi közlemény módosítását tartalmazza.
A négy kritikus sérülékenység közül a legsúlyosabb a CVE-2026-89111 (CVSS 10,0), amely az SAP Cloud SDK for Python 0.45.2 előtti verzióit érinti. Az OAuth2-folyamat SSRF hibája lehetővé teheti, hogy egy támadó a hitelesítési kéréseket saját szerverére irányítsa, és hozzáférési adatokat szerezzen meg. A CVE-2026-89110 (CVSS 9,9) az SAP NetWeaver Visual Composer jogosultságkezelését érinti, és alacsony jogosultságú felhasználónak is lehetőséget adhat védett műveletek végrehajtására. Ugyancsak 9,9-es besorolású a CVE-2026-89107, amely az SAP S/4HANA üzleti szabályainak kezelésében található kódinjektálási hiba. Kihasználásával megfelelő üzleti jogosultsággal rendelkező támadó ABAP-kódot futtathat, ami akár a teljes rendszer kompromittálásához vezethet. A negyedik kritikus hiba, a CVE-2026-89108 (CVSS 9,1), az SAP Manufacturing Integration and Intelligence konfigurációs szolgáltatásának hiányos jogosultságellenőrzéséből ered. A javításcsomag emellett egy SAP Commerce Cloud SQL-injekciót (CVE-2026-89113, CVSS 8,8) és a NetWeaver, illetve Web Dispatcher szolgáltatásmegtagadását előidéző memóriahibát (CVE-2026-58249, CVSS 7,5) is javít.
A sérülékenységek kihasználásának feltételei eltérők, és jelenleg nincs megerősített információ aktív támadásokról. Az SAP az érintett komponensek mielőbbi frissítését javasolja, különösen a vállalati üzleti folyamatokat és hitelesítési szolgáltatásokat kiszolgáló rendszereken.
