SAP oktobra drošības atjauninājumos novērsis 20 drošības ievainojamības vairākos produktos. Nopietnākā no tām skar Cloud SDK for Python — oficiālu programmēšanas rīku komplektu AI aģentu un Python lietotņu izstrādei uzņēmuma SAP Business Technology Platform (BTP) pakalpojumiem.

Ievainojamība, kas reģistrēta ar identifikatoru CVE-2026-89111, klasificēta kā maksimālas bīstamības trūkums. To var izmantot attālināti uzbrucēji bez privilēģijām, lai iegūtu lietotņu piekļuves datus.

OAuth2 pieprasījumus var novirzīt uzbrucēja serverim

Problēma ir saistīta ar OAuth2 servera puses pieprasījumu viltošanu jeb SSRF un skar vairāku nomnieku BTP lietotnes. Ja uzbrucējs kontrolē parametru tenant_subdomain, viņš var novirzīt OAuth2 pilnvaru pieprasījumus uz sev piederošu serveri, tādējādi izfiltrējot klienta piekļuves datus, teikts otrdien publicētajā paziņojumā.

Klientiem, kuri nevar nekavējoties ieviest SAP oktobra labojumus, uzņēmums iesaka pagaidu aizsardzības pasākumu — izmantot atļauto vērtību sarakstu, lai pārbaudītu tenant_subdomain parametrus. Patērētāju lietotnēm parametrs pirms jebkura SDK izsaukuma jāsalīdzina ar zināmu reģistrēto nomnieku apakšdomēnu sarakstu.

Novērsti arī citi kritiski trūkumi

SAP atjauninājumos novērsta arī CVE-2026-89110 — kritiska piekļuves kontroles kļūda SAP NetWeaver Visual Composer. Tā varēja ļaut attālinātiem uzbrucējiem ar ierobežotām privilēģijām pilnībā pārņemt ievainojamas sistēmas.

Vēl viena kritiska ievainojamība, CVE-2026-89108, skāra SAP Manufacturing Integration and Intelligence. Uzbrucējiem, kuriem jau bija administratora privilēģijas, tā varēja dot iespēju iegūt administratīvu kontroli pār pamatā esošo sistēmu, Java lietotnē izveidojot kontu ar paaugstinātām privilēģijām.

SAP sistēmas iepriekš nonākušas uzbrucēju uzmanības lokā

Pēdējos mēnešos SAP novērsis arī vairākus citus maksimālas bīstamības trūkumus. Augustā uzņēmums izlaida labojumu Commerce Cloud mākoņtirdzniecības platformas ievainojamībai CVE-2026-58231. Kiberdrošības uzņēmums Defused dažas dienas pēc labojuma izlaides to atzīmēja kā aktīvi izmantotu uzbrukumos.

Septembrī SAP novērsa arī atmiņas bojājuma ievainojamību SAP Kernel kodā — CVE-2026-44756. Onapsis drošības pētnieki tai piešķīruši nosaukumu OVERPASS. Pēc Onapsis aplēsēm tajā laikā vairāk nekā 10 000 internetam pieejamu SAP sistēmu izmantoja ievainojamo komponenti un varēja būt pakļautas uzbrukumiem, kuros izmantotu šo trūkumu.

ASV Kiberdrošības un infrastruktūras drošības aģentūra (CISA) kopš 2021. gada novembra savā aktīvi izmantoto ievainojamību katalogā iekļāvusi 14 SAP drošības trūkumus. Trīs no tiem izmantoti izspiedējprogrammatūras uzbrukumos.

SAP ir Vācijas starptautisks programmatūras uzņēmums, kura pakalpojumus izmanto 99 no 100 pasaules lielākajiem uzņēmumiem. Uzņēmums 2025. finanšu gadā ziņoja par ieņēmumiem, kas pārsniedza 36 miljardus eiro.