SAP는 2026년 10월 보안 패치 데이에 22개의 신규 및 업데이트 보안 노트를 발표했으며, 여기에는 Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA, Manufacturing Integration and Intelligence에서 발견된 치명적으로 분류된 취약점 4개가 포함됐다. 회사는 실제 공격에서 이러한 결함이 악용됐다는 사실은 언급하지 않았지만, 사용자들에게 가능한 한 빨리 애플리케이션을 업데이트할 것을 권고했다.
완전한 침해로 이어질 수 있는 취약점
가장 심각한 취약점은 CVE-2026-89111이며 CVSS 점수는 10점 만점에 10점이다. 이 취약점은 Cloud SDK for Python의 OAuth2와 관련된 SSRF 취약점으로, 멀티테넌트 BTP 애플리케이션에 영향을 미친다. GitHub에 게시된 SAP의 안내에 따르면, tenant_subdomain 매개변수를 제어하는 공격자는 OAuth2 토큰 요청을 자신이 통제하는 서버로 리디렉션할 수 있으며, 이로 인해 고객 자격 증명이 유출될 수 있다.
CVE-2026-89110의 심각도는 10점 만점에 9.9점이며, NetWeaver Visual Composer의 특정 기능에 존재하는 접근 제어 결함과 관련이 있다. 엔터프라이즈 애플리케이션 보안 기업 Onapsis는 낮은 권한을 가진 공격자가 사전 구성된 원격 시스템에서 내부 작업을 호출할 수 있으며, 이로 인해 시스템이 완전히 장악될 수 있다고 밝혔다.
SAP는 S/4HANA의 CVE-2026-89107도 해결했으며, 심각도는 10점 만점에 9.9점이다. 이 결함으로 인해 특정 조건에서 Fiori 애플리케이션의 특정 비즈니스 역할을 보유한 인증된 공격자가 조작된 입력을 보내 임의의 ABAP 코드를 실행할 수 있다. 이 결함은 규칙 정의 과정에서 입력값을 적절히 검증하지 않아 발생한다.
CVE-2026-89108의 심각도는 10점 만점에 9.1점이며, Manufacturing Integration and Intelligence에서 권한 검사가 누락된 데서 비롯된다. XMII Admin 권한을 가진 공격자는 기본 Java 애플리케이션 서버에 관리자 계정을 생성할 수 있으며, 이를 통해 시스템을 완전히 침해할 수 있다.
실제로 무엇이 달라지는가?
이번 업데이트에는 OAuth2 요청을 통한 자격 증명 유출, 접근 제어 우회, ABAP 코드 삽입, 관리자 계정 생성 등 다양한 위험이 포함된다. 따라서 영향은 단일 구성 요소에 국한되지 않고, 제품과 설정, 공격자가 이용할 수 있는 역할에 따라 SAP 엔터프라이즈 시스템과 해당 시스템에 의존하는 운영으로 확대될 수 있다.
SAP는 Commerce Cloud, NetWeaver, ABAP Platform의 고위험 취약점도 수정했다. 이 취약점들은 임의의 SQL 명령 삽입, 프로세스 중단 또는 보안 제한 우회를 가능하게 할 수 있었다. 출처는 영향을 받는 제품 버전이나 별도의 업데이트 일정을 명시하지 않았으며, 게시 시점까지 해당 취약점이 실제로 활발히 악용되고 있다는 사실도 입증하지 않았다.
사용자가 검토해야 할 사항
SAP 관리팀은 2026년 10월 SAP 보안 노트를 검토하고, 실제로 배포된 구성 요소를 식별한 뒤 승인된 변경 절차에 따라 적절한 업데이트를 적용해야 한다. 또한 이번 취약점은 역할 권한, 특히 Fiori 및 XMII와 관련된 역할을 검토하고 멀티테넌트 애플리케이션의 설정을 확인할 필요성을 제기한다. 각 환경의 노출 정도에 따라 처리 우선순위가 달라지며, 모든 배포가 동일한 방식으로 악용될 수 있다고 출처가 언급한 것은 아니다.