SAP ออกแพตช์ด่วนแก้ 4 ช่องโหว่ Critical ใน NetWeaver และ S/4HANA

SAP ผู้ผลิตซอฟต์แวร์ระดับองค์กรรายใหญ่ ประกาศปล่อยบันทึกความปลอดภัยใหม่และรายการอัปเดตรวม 22 รายการเมื่อวันอังคารที่ผ่านมา โดยมี 4 รายการที่เป็นการแก้ไขช่องโหว่ความรุนแรงระดับ Critical ซึ่งมีความเสี่ยงสูงต่อระบบ

ช่องโหว่ที่มีความรุนแรงสูงสุดคือ CVE-2026-89111 (คะแนน CVSS 10/10) ซึ่งเป็นช่องโหว่ประเภท OAuth2 SSRF ใน Cloud SDK for Python ที่ส่งผลกระทบโดยตรงต่อแอปพลิเคชัน BTP แบบ multi-tenant

SAP อธิบายรายละเอียดบน GitHub ว่า ผู้โจมตีที่สามารถควบคุมพารามิเตอร์ tenant_subdomain จะสามารถเปลี่ยนเส้นทางการร้องขอ OAuth2 token ไปยังเซิร์ฟเวอร์ที่ตนเองควบคุมได้ ซึ่งส่งผลให้ข้อมูล client credentials ถูกขโมยออกไปในที่สุด

ลำดับถัดมาคือ CVE-2026-89110 (คะแนน CVSS 9.9/10) ซึ่งเป็นปัญหาด้าน broken access control ใน NetWeaver ที่อาจเปิดทางให้ผู้โจมตีซึ่งผ่านการรับรองความถูกต้องแล้ว สามารถรันโค้ด ABAP ใดๆ บนระบบได้ทันที

ข้อบกพร่องนี้เกิดจากกระบวนการกำหนดกฎ (rule definition) ล้มเหลวในการตรวจสอบข้อมูลนำเข้าอย่างเหมาะสม ทำให้ผู้โจมตีที่ถือบทบาททางธุรกิจเฉพาะใน Fiori Applications สามารถส่งข้อมูลนำหน้าที่ถูกสร้างขึ้นมาเป็นพิเศษเพื่อโจมตีระบบได้

Onapsis บริษัทด้านความปลอดภัยแอปพลิเคชันระดับองค์กรได้ explains ว่าการโจมตีที่ประสบความสำเร็จอาจช่วยให้ผู้โจมตีเข้ายึดครองระบบที่มีช่องโหว่ได้ทั้งหมด

สำหรับช่องโหว่ระดับ Critical รายการที่สามซึ่งได้รับการแก้ไขใน October 2026 Security Patch Day คือ CVE-2026-89107 (คะแนน CVSS 9.9/10) ซึ่งเป็นปัญหา code injection ใน S/4HANA

ข้อมูลจาก Onapsis ระบุว่าข้อบกพร่องนี้ส่งผลกระทบต่อฟังก์ชันการทำงานบางส่วนใน Visual Composer โดยอาจอนุญาตให้ผู้โจมตีที่ได้รับสิทธิ์ต่ำ สามารถเรียกใช้การทำงานภายในบนระบบรีโมทที่กำหนดค่าไว้ล่วงหน้า และเข้าควบคุมระบบได้อย่างสมบูรณ์

รายการสุดท้ายในกลุ่ม Critical คือ CVE-2026-89108 (คะแนน CVSS 9.1/10) ซึ่งเป็นปัญหาการขาดการตรวจสอบสิทธิ์ (missing authorization check) ใน Manufacturing Integration and Intelligence ที่อาจเปิดโอกาสให้ผู้โจมตีที่มีสิทธิ์ระดับ XMII Admin สามารถสร้างบัญชีผู้ดูแลระบบบน Java application server และเข้าควบคุมระบบได้

นอกจากนี้ SAP ยังได้แก้ไขข้อบกพร่องระดับความรุนแรงสูง (high-severity) ใน Commerce Cloud, NetWeaver และ ABAP Platform ที่อาจยอมให้ผู้โจมตีแทรกคำสั่ง SQL, ทำให้ระบบหยุดทำงาน หรือข้ามข้อจำกัดด้านความปลอดภัยต่างๆ

ปัจจุบัน SAP ยังไม่พบรายงานการนำช่องโหว่เหล่านี้ไปใช้โจมตีจริง (exploited in the wild) อย่างไรก็ตาม ผู้ใช้ควรดำเนินการอัปเดตแอปพลิเคชันให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุดเพื่อความปลอดภัย