SAP แจ้งเตือนช่องโหว่ระดับความรุนแรงสูงสุดประเภท OAuth2 SSRF

 

SAP ได้แก้ไขช่องโหว่ด้านความปลอดภัยจำนวน 20 รายการในผลิตภัณฑ์หลายรายการผ่านการอัปเดตความปลอดภัยประจำเดือนตุลาคม 2026 ซึ่งรวมถึงช่องโหว่ระดับความรุนแรงสูงสุด (Maximum Severity) ใน Cloud SDK for Python

SAP Python SDK เป็นชุดเครื่องมือ (Programmatic Toolkit) อย่างเป็นทางการสำหรับพัฒนา AI Agents และแอปพลิเคชัน Python บนบริการ SAP Business Technology Platform (BTP) ของบริษัท

ช่องโหว่นี้มีหมายเลข CVE-2026-89111 และได้รับการแก้ไขในเดือนนี้ โดยผู้โจมตีจากภายนอก สามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวเพื่อขโมย Credentials ได้โดยไม่จำเป็นต้องมีสิทธิ์การเข้าถึง

สำหรับลูกค้าที่ไม่สามารถติดตั้ง SAP Patches ประจำเดือนตุลาคม 2026 ได้ทันที สามารถลดความเสี่ยงของช่องโหว่นี้ชั่วคราวได้ด้วยการใช้ Allowlist เพื่อตรวจสอบค่า tenant_subdomain

ตามประกาศแจ้งเตือนเมื่อวันอังคารระบุว่า SAP Cloud SDK for Python มีช่องโหว่ OAuth2 SSRF ที่ส่งผลกระทบต่อแอปพลิเคชัน BTP แบบ Multi-tenant โดยผู้โจมตีที่สามารถควบคุมพารามิเตอร์ tenant_subdomain จะสามารถเปลี่ยนเส้นทาง OAuth2 Token Requests ไปยังเซิร์ฟเวอร์ที่ผู้โจมตีควบคุมอยู่ ส่งผลให้ Client Credentials ถูกส่งออกไปยังภายนอก

แอปพลิเคชันของผู้ใช้งานสามารถลดความเสี่ยงจากช่องโหว่นี้ได้ โดยตรวจสอบค่า tenant_subdomain กับ Allowlist ที่ระบุ Tenant Subdomains ซึ่งลงทะเบียนไว้ และเชื่อถือได้ ก่อนส่งค่าไปยังการเรียกใช้งาน SDK (SDK Call)

SAP ยังได้แก้ไขช่องโหว่ CVE-2026-89110 ซึ่งเป็นช่องโหว่ Broken Access Control ระดับ Critical ใน SAP NetWeaver Visual Composer ที่อาจทำให้ผู้โจมตีจากภายนอกซึ่งมีสิทธิ์เพียงจำกัด สามารถเข้าควบคุมระบบที่มีช่องโหว่ได้อย่างสมบูรณ์

อีกหนึ่งช่องโหว่ระดับ Critical ที่ได้รับการแก้ไขในวันนี้อยู่ใน SAP Manufacturing Integration and Intelligence โดยมีหมายเลข CVE-2026-89108 ช่องโหว่นี้ทำให้ผู้โจมตีที่มีสิทธิ์ระดับ Administrator สามารถเข้าควบคุมระบบพื้นฐาน (Underlying System) ด้วยสิทธิ์ผู้ดูแลระบบได้ ผ่านการสร้างบัญชีที่มีสิทธิ์สูงขึ้น (Elevated-Privilege Account) บน Java Application ที่อยู่เบื้องหลัง

ในช่วงหลายเดือนที่ผ่านมา SAP ได้แก้ไขช่องโหว่ระดับความรุนแรงสูงสุดอีกหลายรายการในส่วนประกอบต่าง ๆ ของผลิตภัณฑ์ ตัวอย่างเช่น ในเดือนสิงหาคม บริษัทได้แก้ไขช่องโหว่ CVE-2026-58231 ในแพลตฟอร์ม E-commerce บนคลาวด์ Commerce Cloud ซึ่งบริษัทด้าน Threat Intelligence อย่าง Defused รายงานว่าช่องโหว่นี้กำลังถูกนำไปใช้โจมตีจริง เพียงไม่กี่วันหลังจากได้รับการแก้ไข

ต่อมาในเดือนกันยายน SAP ได้แก้ไขช่องโหว่ Memory Corruption หมายเลข CVE-2026-44756 ในโค้ด SAP Kernel ซึ่งนักวิจัยด้านความปลอดภัยจาก Onapsis ตั้งชื่อช่องโหว่นี้ว่า OVERPASS โดยเป็นผู้รายงานช่องโหว่ดังกล่าว จากการประเมินของ Onapsis ในขณะนั้น พบว่ามีระบบ SAP ที่เปิดให้เข้าถึงจากอินเทอร์เน็ตมากกว่า 10,000 ระบบใช้งานส่วนประกอบที่มีช่องโหว่นี้ และอาจเสี่ยงต่อการถูกโจมตีผ่าน CVE-2026-44756

ตั้งแต่เดือนพฤศจิกายน 2021 หน่วยงาน U.S. Cybersecurity and Infrastructure Security Agency (CISA) ได้เพิ่มช่องโหว่ด้านความปลอดภัยของ SAP จำนวน 14 รายการลงในบัญชี Known Exploited Vulnerabilities (KEV) ซึ่งเป็นรายการช่องโหว่ที่มีการนำไปใช้โจมตีจริง โดยในจำนวนนี้มี 3 รายการที่ถูกนำไปใช้ในการโจมตีด้วย Ransomware

SAP เป็นบริษัทซอฟต์แวร์ข้ามชาติจากประเทศเยอรมนี ซึ่งให้บริการแก่บริษัทขนาดใหญ่ 99 แห่งจาก 100 บริษัทที่ใหญ่ที่สุดทั่วโลก และรายงานรายได้มากกว่า 36,000 ล้านยูโรในปีงบประมาณ 2025

Patch Update ตาม link ด้านล่าง

SAP Security Patch Day - October 2026 : https[://]support[.]sap[.]com/en/my-support/knowledge-base/security-notes-news/october-2026[.]html?isu_page=1

ที่มา : bleepingcomputer