SAP 宣布在 2026 年 10 月安全补丁日发布并更新了 22 份安全说明，其中包括 Cloud SDK for Python、NetWeaver Visual Composer、S/4HANA 以及 Manufacturing Integration and Intelligence 中的四个严重漏洞。该公司未提及这些缺陷已被用于实际攻击，但建议用户尽快更新应用程序。
可能导致完全入侵的漏洞
风险最高的漏洞编号为 CVE-2026-89111，CVSS 评分为 10 分（满分 10 分）。这是 Cloud SDK for Python 中与 OAuth2 相关的 SSRF 漏洞，影响多租户 BTP 应用程序。根据 SAP 在 GitHub 上发布的说明，控制 tenant_subdomain 参数的攻击者可以将 OAuth2 令牌请求重定向到其控制的服务器，从而可能导致客户凭据泄露。
CVE-2026-89110 的评分为 9.9 分（满分 10 分），与 NetWeaver Visual Composer 某些功能中的访问控制缺陷有关。企业应用安全公司 Onapsis 表示，低权限攻击者可能能够在预先配置的远程系统上调用内部操作，最终可能完全控制该系统。
SAP 还修复了 S/4HANA 中的 CVE-2026-89107，该漏洞评分为 9.9 分（满分 10 分）。在特定情况下，拥有 Fiori 应用程序中特定业务角色的已认证攻击者可以发送特制输入，以执行任意 ABAP 代码。该缺陷源于规则定义过程中未能适当验证输入。
CVE-2026-89108 的评分为 9.1 分（满分 10 分），其原因是 Manufacturing Integration and Intelligence 缺少授权检查。拥有 XMII Admin 权限的攻击者可以在底层 Java 应用服务器上创建管理员账户，从而完全入侵系统。
实际会发生什么变化？
这一批漏洞涵盖多种风险：通过 OAuth2 请求泄露凭据、绕过访问控制、注入 ABAP 代码以及创建管理员账户。因此，其影响并不限于单个组件，而可能扩展到企业 SAP 系统及其所依赖的业务流程，具体取决于产品、配置以及攻击者可用的角色。
SAP 还修复了 Commerce Cloud、NetWeaver 和 ABAP Platform 中的高风险漏洞。这些漏洞可能允许注入任意 SQL 命令、导致进程崩溃或绕过安全限制。来源未确定受影响的产品版本或单独的更新期限，也未证明截至发布之日这些漏洞存在活跃利用。
用户应检查的事项
SAP 管理团队应审查 SAP 2026 年 10 月安全说明，确定实际部署的组件，并按照获批准的变更流程应用适当的更新。此外，这些漏洞也要求审查角色权限，尤其是与 Fiori 和 XMII 相关的角色，并核实多租户应用程序的配置。修复优先级仍取决于每个环境的暴露程度，因为来源并未表示所有部署都能以相同方式被利用。