SAP закрыла уязвимость CVSS 10 в ядре своих систем
Ошибка CVE-2026-44756 позволяет удалённо и без авторизации выполнять команды на сервере SAP с административными правами. Вместе с ней компания устранила ещё несколько критических уязвимостей.
SAP выпустила обновления безопасности для нескольких критических уязвимостей. Наиболее опасная из них — CVE-2026-44756 с максимальной оценкой CVSS 10,0: она затрагивает обработку SAP Extended Passport (EPP) в ядре SAP и допускает удалённое выполнение команд без аутентификации.
Исследователи Onapsis, обнаружившие проблему и назвавшие её OVERPASS, связывают её с ошибкой проверки границ при десериализации EPP-данных. Специально сформированный сетевой запрос с некорректным EPP-заголовком способен нарушить работу процесса; по оценке Onapsis, при успешной атаке злоумышленник может получить контроль над процессом и выполнять команды операционной системы с правами администратора SAP.
Риск усложняется тем, что код обработки EPP используется несколькими протоколами. По данным Onapsis, уязвимый механизм доступен через веб-уровень, SAP GUI и RFC-соединения между SAP-системами. Для атаки не требуются учётные данные, а одними сетевыми ограничениями полностью закрыть все возможные пути доступа нельзя.
Последствия успешной эксплуатации могут включать доступ к защищённому хранилищу SAP с учётными данными базы данных и хешами паролей, перехват данных активных пользовательских сессий, изменение прикладных данных и конфигурации, а также компрометацию других SAP-систем через сохранённые учётные данные.
Ещё одна критическая проблема — CVE-2026-58240 с оценкой CVSS 9,8 — обнаружена в SAP NetWeaver Message Server. Это ошибка проверки аутентификации: атакующий с сетевым доступом может выполнять несанкционированные действия. Onapsis называет уязвимость S4GET и указывает, что она присутствует в ветках ядра SAP 9.x, используемых SAP S/4HANA и SAP S/4HANA Cloud Private Edition, а также, возможно, в других продуктах на базе ABAP.
Также SAP исправила CVE-2026-76969 (CVSS 9,4) в многопользовательских приложениях на SAP Cloud Application Programming Model: специально сформированные запросы могут раскрыть чувствительные учётные данные, которые затем позволяют заменить или удалить данные арендатора. Уязвимость CVE-2026-66768 с CVSS 9,0 в SAP NetWeaver SAP GUI for Java связана с недостаточным контролем доступа и допускает выполнение произвольных команд на хосте.
По информации The Hacker News, сведений об эксплуатации этих уязвимостей на момент публикации нет. Onapsis рекомендует провести инвентаризацию SAP-систем, в первую очередь установить обновления на доступные из интернета экземпляры, сократить внешнюю доступность там, где это возможно, и отслеживать попытки атак во время развёртывания исправлений.