SAP объявила о выпуске 22 новых и обновлённых бюллетеней безопасности в рамках октябрьского дня исправлений безопасности 2026 года. Среди них — четыре уязвимости, классифицированные как критические, в Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA и Manufacturing Integration and Intelligence. Компания не сообщила об эксплуатации этих недостатков в реальных атаках, однако рекомендовала пользователям как можно скорее обновить приложения.
Уязвимости, способные привести к полному взлому
Наиболее опасная уязвимость имеет обозначение CVE-2026-89111 и оценку CVSS 10 из 10. Это уязвимость SSRF, связанная с OAuth2 в Cloud SDK for Python, затрагивающая многопользовательские приложения BTP. Согласно заявлению SAP, опубликованному на GitHub, злоумышленник, контролирующий параметр tenant_subdomain, может перенаправить запросы токенов OAuth2 на сервер под своим контролем, что может привести к утечке учётных данных клиента.
Оценка CVE-2026-89110 составляет 9,9 из 10. Уязвимость связана с недостатком контроля доступа в определённых функциях NetWeaver Visual Composer. Компания по безопасности корпоративных приложений Onapsis заявила, что злоумышленник с низким уровнем привилегий может получить возможность вызывать внутренние операции в предварительно настроенной удалённой системе, что потенциально может завершиться полным захватом системы.
SAP также устраняет CVE-2026-89107 в S/4HANA с оценкой 9,9 из 10. При определённых условиях недостаток позволяет аутентифицированному злоумышленнику, обладающему определённой бизнес-ролью в приложениях Fiori, отправлять специально сформированные входные данные для выполнения произвольного кода ABAP. Недостаток связан с ненадлежащей проверкой входных данных в процессе определения правил.
CVE-2026-89108 имеет оценку 9,1 из 10 и вызвана отсутствием проверки авторизации в Manufacturing Integration and Intelligence. Злоумышленник с привилегиями XMII Admin может создать учётную запись администратора на базовом сервере приложений Java, что позволяет полностью скомпрометировать систему.
Что меняется на практике?
Эта партия обновлений объединяет различные риски: утечку учётных данных через запросы OAuth2, обход средств контроля доступа, внедрение кода ABAP и создание административных учётных записей. Поэтому последствия не ограничиваются отдельным компонентом и могут распространиться на корпоративные системы SAP и зависящие от них процессы — в зависимости от продуктов, настроек и доступных злоумышленнику ролей.
SAP также исправила уязвимости высокой степени опасности в Commerce Cloud, NetWeaver и ABAP Platform, которые могли позволить внедрять произвольные SQL-команды, приводить к сбою процесса или обходить ограничения безопасности. Источник не указывает затронутые версии продуктов или отдельные сроки обновления и не подтверждает наличие активной эксплуатации уязвимостей на дату публикации.
Что следует проверить пользователям
Командам, отвечающим за управление SAP, следует изучить бюллетени безопасности SAP за октябрь 2026 года, определить фактически развернутые компоненты и применить соответствующие обновления в соответствии с утверждёнными процедурами управления изменениями. Уязвимости также требуют пересмотра разрешений ролей, особенно ролей, связанных с Fiori и XMII, а также проверки настроек многопользовательских приложений. Приоритет устранения по-прежнему зависит от степени подверженности каждой среды, поскольку источник не утверждает, что все развёртывания могут быть эксплуатированы одинаковым способом.