Wprowadzenie do problemu / definicja
SAP opublikował październikowy pakiet poprawek bezpieczeństwa, który eliminuje wiele podatności, w tym kilka błędów o krytycznym znaczeniu dla bezpieczeństwa przedsiębiorstw. Najpoważniejsze luki dotyczą środowisk NetWeaver, SAP S/4HANA, SAP Cloud SDK for Python oraz SAP Manufacturing Integration and Intelligence.
Z perspektywy organizacji korzystających z ekosystemu SAP problem ma charakter strategiczny. Podatności w tej klasie mogą prowadzić do przejęcia systemów biznesowych, wycieku poświadczeń, wykonania nieautoryzowanego kodu oraz nadużycia uprawnień administracyjnych w kluczowych komponentach infrastruktury.
W skrócie
Najwyżej ocenioną podatnością jest CVE-2026-89111 z maksymalną oceną CVSS 10.0. Luka dotyczy scenariusza SSRF w mechanizmie OAuth2 w SAP Cloud SDK for Python dla aplikacji wielodzierżawnych działających na SAP BTP.
W pakiecie znalazły się również krytyczne poprawki dla CVE-2026-89110 w NetWeaver Visual Composer, CVE-2026-89107 w SAP S/4HANA oraz CVE-2026-89108 w SAP Manufacturing Integration and Intelligence. Łącznie producent udostępnił 22 nowe i zaktualizowane noty bezpieczeństwa. Nie wskazano przy tym, aby nowe luki były aktywnie wykorzystywane, jednak ich charakter wymaga pilnego wdrożenia poprawek.
- CVE-2026-89111: SSRF i ryzyko wycieku poświadczeń OAuth2
- CVE-2026-89110: błędna kontrola dostępu w NetWeaver Visual Composer
- CVE-2026-89107: code injection w SAP S/4HANA
- CVE-2026-89108: eskalacja uprawnień administracyjnych w XMII
Kontekst / historia
Comiesięczne cykle aktualizacji SAP regularnie obejmują zarówno nowe podatności, jak i poprawki do wcześniej opublikowanych not. Tym razem szczególną uwagę zwracają błędy wpływające na rozwiązania szeroko wykorzystywane w dużych organizacjach, gdzie SAP odpowiada za obsługę procesów finansowych, logistycznych, zakupowych, produkcyjnych i integracyjnych.
Znaczenie tych komponentów jest trudne do przecenienia. NetWeaver często pełni rolę warstwy aplikacyjnej i integracyjnej, natomiast S/4HANA pozostaje rdzeniem procesów biznesowych. W praktyce oznacza to, że skuteczny atak na jedną z tych warstw może przełożyć się nie tylko na naruszenie pojedynczej usługi, ale także na zakłócenie działania całego przedsiębiorstwa.
Analiza techniczna
Najpoważniejszy problem, oznaczony jako CVE-2026-89111, dotyczy SAP Cloud SDK for Python. Luka pozwala na przeprowadzenie ataku typu server-side request forgery w procesie obsługi OAuth2. Jeśli napastnik kontroluje parametr tenant_subdomain, może przekierować żądanie pobrania tokenu do własnego serwera. W efekcie możliwa staje się eksfiltracja poświadczeń klienta używanych w procesie uwierzytelniania.
W środowiskach wielodzierżawnych taki scenariusz jest szczególnie groźny, ponieważ granice logiczne między tenantami stanowią podstawowy element modelu bezpieczeństwa. Naruszenie tej warstwy może otworzyć drogę do dalszych działań ofensywnych w aplikacjach opartych o SAP BTP.
CVE-2026-89110 wpływa na NetWeaver Visual Composer i wiąże się z błędną kontrolą dostępu w jednej z funkcji portalowych. Użytkownik o ograniczonych uprawnieniach może w określonych warunkach wywoływać wewnętrzne operacje na wcześniej skonfigurowanym systemie zdalnym. Przy sprzyjającej konfiguracji skutkiem może być pełna kompromitacja systemu docelowego.
Z kolei CVE-2026-89107 w SAP S/4HANA dotyczy podatności typu code injection. Problem wynika z niewystarczającej walidacji danych wejściowych podczas definiowania reguł. Uwierzytelniony użytkownik posiadający odpowiednią rolę biznesową w aplikacjach Fiori może dostarczyć spreparowane dane prowadzące do wykonania arbitralnego kodu ABAP. To jeden z najbardziej niebezpiecznych scenariuszy w środowisku SAP, ponieważ ABAP działa w rdzeniu logiki biznesowej platformy.
CVE-2026-89108 wpływa natomiast na SAP Manufacturing Integration and Intelligence. Luka wynika z braku właściwej kontroli autoryzacji i może pozwolić użytkownikowi z uprawnieniami XMII Admin na utworzenie konta administratora na bazowym serwerze aplikacyjnym Java. W praktyce oznacza to przekroczenie granicy między warstwą aplikacyjną a infrastrukturalną i stworzenie warunków do pełnego przejęcia systemu.
Poza lukami krytycznymi SAP zaadresował także inne podatności wysokiego ryzyka, obejmujące między innymi możliwość wstrzyknięcia SQL, wywołania awarii procesu oraz obchodzenia mechanizmów bezpieczeństwa. To sygnał, że październikowy zestaw aktualizacji należy traktować jako szeroki program redukcji ryzyka, a nie pojedynczą akcję serwisową.
Konsekwencje / ryzyko
Wpływ biznesowy opisanych luk może być bardzo poważny. Kompromitacja systemów SAP nierzadko oznacza dostęp do danych finansowych, danych kontrahentów, procesów magazynowych, zamówień, produkcji oraz połączeń z systemami zewnętrznymi. Szczególnie niebezpieczne są scenariusze obejmujące kradzież poświadczeń OAuth2, wykonanie kodu ABAP oraz nadużycie uprawnień administracyjnych na serwerach Java.
Poziom ryzyka rośnie zwłaszcza w organizacjach, które utrzymują rozbudowane integracje, wystawiają usługi SAP do sieci zewnętrznych, posiadają rozległy model ról biznesowych i kont uprzywilejowanych albo opóźniają wdrażanie not bezpieczeństwa. Problemem pozostaje także brak odpowiedniego monitoringu aktywności administracyjnej w Fiori, NetWeaver i XMII.
- ryzyko przejęcia kontroli nad systemami ERP i integracyjnymi,
- możliwość wycieku poświadczeń i danych biznesowych,
- eskalacja uprawnień do poziomu administracyjnego,
- potencjalne zakłócenie ciągłości operacyjnej i produkcyjnej,
- wzrost atrakcyjności środowiska dla grup ransomware i cyberprzestępców.
Rekomendacje
Organizacje korzystające z SAP powinny w pierwszej kolejności ustalić, które instancje obejmują wskazane komponenty: Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA oraz XMII. Następnie należy niezwłocznie wdrożyć odpowiednie noty bezpieczeństwa zgodnie z zaleceniami producenta.
Równolegle warto przeprowadzić dodatkowe działania ochronne, które ograniczą ryzyko wtórnej kompromitacji lub nadużycia istniejących uprawnień.
- zweryfikować ekspozycję systemów SAP na internet i segmentować dostęp,
- przejrzeć role biznesowe w Fiori oraz ograniczyć nadmiarowe uprawnienia,
- skontrolować konta XMII Admin i administratorów Java,
- monitorować logi pod kątem nietypowych operacji związanych z OAuth2, zmianami kont i wykonywaniem kodu ABAP,
- sprawdzić konfiguracje integracji zdalnych w NetWeaver,
- wykonać testy bezpieczeństwa po wdrożeniu poprawek,
- przygotować plan awaryjny obejmujący rotację poświadczeń i przegląd zmian konfiguracyjnych.
W środowiskach o wysokiej krytyczności biznesowej zasadne może być również czasowe zwiększenie poziomu monitoringu SOC, szczególnie dla systemów obsługujących procesy finansowe, produkcyjne i integracyjne.
Podsumowanie
Październikowy pakiet bezpieczeństwa SAP usuwa luki, które w skrajnym scenariuszu mogą prowadzić do pełnej kompromitacji systemów przedsiębiorstwa. Najpoważniejsze zagrożenia obejmują SSRF i wyciek poświadczeń OAuth2, błędną kontrolę dostępu w NetWeaver, wykonanie kodu ABAP w S/4HANA oraz możliwość utworzenia konta administratora w środowisku XMII.
Dla zespołów bezpieczeństwa i administratorów SAP oznacza to konieczność szybkiego patchowania, przeglądu uprawnień, weryfikacji ekspozycji usług oraz wzmożonego monitorowania aktywności w krytycznych komponentach platformy.
Źródła
- SecurityWeek — SAP Patches Critical NetWeaver, S/4HANA Vulnerabilities — https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/
- SAP Security Patch Day – October 2026 — https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2026.html
- Onapsis — SAP October 2026 Security Notes Analysis — https://onapsis.com/blog/
- GitHub Advisory Database — SAP Cloud SDK for Python OAuth2 SSRF — https://github.com/advisories