SAP แจ้งเตือนช่องโหว่ระดับ Critical ใน NetWeaver และ Commerce Cloud

 

SAP ได้ดำเนินการแก้ไขช่องโหว่ 16 รายการในผลิตภัณฑ์หลายรายการ ซึ่งเป็นส่วนหนึ่งของการอัปเดตความปลอดภัยประจำเดือนกรกฎาคม 2026 โดยในจำนวนนี้รวมถึงช่องโหว่ระดับ Critical 3 รายการใน NetWeaver, Commerce Cloud และ AppRouter

ช่องโหว่ระดับ Critical รายการแรกที่ได้รับการแพตช์ในเดือนนี้ คือช่องโหว่ด้านความปลอดภัยเกี่ยวกับ Memory corruption (หมายเลข CVE-2026-44747) ซึ่งมีสาเหตุมาจากช่องโหว่ประเภท Out-of-bounds write ใน NetWeaver Application Server ABAP (AS ABAP) ซึ่งเป็น Runtime environment, แอปพลิเคชันเซิร์ฟเวอร์ และแพลตฟอร์มการพัฒนาสำหรับซอฟต์แวร์ระดับ Core enterprise ของ SAP

SAP ระบุว่า "SAP NetWeaver Application Server ABAP อาจทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตนแล้ว สามารถใช้ประโยชน์จาก Logical errors ในการจัดการหน่วยความจำเพื่อทำให้หน่วยความจำเสียหาย ซึ่งอาจนำไปสู่การเข้าถึงข้อมูล, การแก้ไข หรือการทำให้ระบบไม่พร้อมใช้งานโดยไม่ได้รับอนุญาต และช่องโหว่นี้อาจส่งผลกระทบอย่างรุนแรงต่อการรักษาความลับ (confidentiality) ความถูกต้องสมบูรณ์ (integrity) และความพร้อมใช้งาน (availability) ของแอปพลิเคชัน"

ช่องโหว่ระดับ Critical รายการที่สอง (CVE-2026-27690) คือช่องโหว่ประเภท HTTP Request Smuggling ใน SAP Approuter ซึ่งเป็น Middleware library ที่พัฒนาบน Node.js สำหรับแอปพลิเคชันบนระบบ Cloud ที่นำไปใช้งานบน Business Technology Platform (SAP BTP) ของบริษัท

ผู้โจมตีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถทำการโจมตีผ่านช่องโหว่นี้ได้โดยการส่ง HTTP requests ที่ถูกสร้างขึ้นมาเป็นพิเศษ เพื่อเข้าถึงข้อมูล User responses และทำให้เกิดการโจมตีแบบ Denial-of-Service บนระบบเป้าหมายได้

ช่องโหว่ระดับ Critical รายการที่สามที่ได้รับการแก้ไขแล้ว (มีหมายเลข CVE-2026-44761) ถูกพบใน SAP Commerce Cloud ซึ่งเป็นแพลตฟอร์ม e-Commerce ระดับ Enterprise โดยมีสาเหตุมาจากข้อมูล Default credentials ที่ทำให้ผู้โจมตีสามารถรับ Access tokens ที่ถูกต้อง และทำการอ่าน หรือแก้ไขข้อมูลผ่าน API บางตัวได้

ประกาศแจ้งเตือนด้านความปลอดภัยประจำเดือนกรกฎาคม 2026 ของ SAP ยังระบุถึงการแก้ไขช่องโหว่ที่มีระดับความรุนแรงสูง จำนวน 6 รายการ, ระดับความรุนแรงปานกลาง 7 รายการ และระดับความรุนแรงต่ำอีก 1 รายการ ซึ่งรวมถึงช่องโหว่ DLL hijacking, open redirect, missing authorization checks, remote code execution, cross-site scripting (XSS), path traversal, SQL injection, denial-of-service, information disclosure และ security misconfigurations

แม้ว่าทางบริษัทจะยังไม่พบหลักฐานว่าช่องโหว่ที่ได้รับการแพตช์แล้วถูกนำไปใช้ในการโจมตีจริง แต่ CISA ได้เพิ่มช่องโหว่ด้านความปลอดภัยของ SAP จำนวน 14 รายการลงใน Known Exploited Vulnerabilities catalog มาตั้งแต่เดือนพฤศจิกายน 2021 ซึ่งรวมถึงช่องโหว่ 2 รายการที่ถูกนำไปใช้ในการโจมตีโดยกลุ่มแรนซัมแวร์

เมื่อเร็ว ๆ นี้ SAP ได้แก้ไขช่องโหว่จำนวน 15 รายการซึ่งเป็นส่วนหนึ่งของชุดแพตช์อัปเดตด้านความปลอดภัยประจำเดือนมิถุนายน 2026 นอกจากนี้ผู้โจมตียังได้ทำการเจาะระบบแพ็กเกจ npm อย่างเป็นทางการของ SAP หลายรายการในการโจมตีแบบ Supply chain attack ซึ่งมีเป้าหมายเพื่อขโมยข้อมูล Credentials จากระบบของนักพัฒนาซอฟต์แวร์

บริษัทซอฟต์แวร์สัญชาติเยอรมันแห่งนี้รายงานว่ามีรายได้รวมทะลุ 3.6 หมื่นล้านยูโรในปีงบประมาณ 2025 และเป็นผู้ให้บริการแก่บริษัทยักษ์ใหญ่จำนวน 99 แห่งจาก 100 อันดับแรกของโลก

ที่มา : bleepingcomputer