أعلنت SAP إصدار 22 مذكرة أمنية جديدة ومحدثة ضمن يوم التصحيحات الأمني لشهر أكتوبر 2026، بينها أربع ثغرات مصنفة حرجة في Cloud SDK for Python وNetWeaver Visual Composer وS/4HANA وManufacturing Integration and Intelligence. ولم تذكر الشركة وجود استغلال لهذه العيوب في هجمات فعلية، لكنها أوصت المستخدمين بتحديث التطبيقات في أقرب وقت ممكن.
ثغرات قد تقود إلى اختراق كامل
تحمل الثغرة الأعلى خطورة الرمز CVE-2026-89111 وتقييم CVSS قدره 10 من 10. وهي ثغرة SSRF مرتبطة بـOAuth2 في Cloud SDK for Python، وتؤثر في تطبيقات BTP متعددة المستأجرين. ووفقاً لإفادة SAP المنشورة على GitHub، يستطيع مهاجم يتحكم في المعامل tenant_subdomain إعادة توجيه طلبات رموز OAuth2 إلى خادم يسيطر عليه، ما قد يؤدي إلى تسريب بيانات اعتماد العميل.
أما CVE-2026-89110، فتبلغ درجتها 9.9 من 10، وترتبط بخلل في التحكم بالوصول ضمن وظائف معينة في NetWeaver Visual Composer. وقالت شركة أمن تطبيقات المؤسسات Onapsis إن مهاجماً منخفض الصلاحيات قد يتمكن من استدعاء عمليات داخلية على نظام بعيد مهيأ مسبقاً، بما قد ينتهي بالسيطرة الكاملة على النظام.
وتعالج SAP أيضاً CVE-2026-89107 في S/4HANA، بدرجة 9.9 من 10. يسمح الخلل، في ظروف محددة، لمهاجم موثّق يمتلك دوراً تجارياً معيناً في تطبيقات Fiori بإرسال مدخلات معدة خصيصاً لتنفيذ شيفرة ABAP عشوائية. ويعود العيب إلى عدم التحقق المناسب من المدخلات أثناء عملية تعريف القواعد.
وتحمل CVE-2026-89108 درجة 9.1 من 10، وهي ناتجة عن غياب فحص للتفويض في Manufacturing Integration and Intelligence. ويمكن لمهاجم يملك صلاحيات XMII Admin إنشاء حساب إداري على خادم تطبيقات Java الأساسي، ما يتيح اختراق النظام بالكامل.
ما الذي يتغير عملياً؟
تجمع هذه الدفعة بين مخاطر مختلفة: تسريب بيانات اعتماد عبر طلبات OAuth2، وتجاوز ضوابط الوصول، وحقن شيفرة ABAP، وإنشاء حسابات إدارية. لذلك لا يقتصر أثرها على مكوّن منفرد، بل قد يمتد إلى أنظمة SAP المؤسسية والعمليات التي تعتمد عليها، بحسب المنتجات والإعدادات والأدوار المتاحة للمهاجم.
كما أصلحت SAP ثغرات عالية الخطورة في Commerce Cloud وNetWeaver وABAP Platform، كان من شأنها إتاحة حقن أوامر SQL عشوائية، أو التسبب في تعطل عملية، أو تجاوز قيود أمنية. ولا يحدد المصدر إصدارات المنتجات المتأثرة أو مواعيد منفصلة للتحديث، كما لا يثبت وجود استغلال نشط للثغرات حتى تاريخ النشر.
ما ينبغي على المستخدمين مراجعته
ينبغي لفرق إدارة SAP مراجعة مذكرات SAP الأمنية لشهر أكتوبر 2026، وتحديد المكونات المنشورة فعلياً، وتطبيق التحديثات المناسبة وفق إجراءات التغيير المعتمدة. كما تستدعي الثغرات مراجعة صلاحيات الأدوار، خصوصاً الأدوار المرتبطة بـFiori وXMII، والتحقق من إعدادات التطبيقات متعددة المستأجرين. وتظل أولوية المعالجة مرتبطة بمدى تعرض كل بيئة، إذ لا يذكر المصدر أن جميع عمليات النشر قابلة للاستغلال بالطريقة نفسها.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.