SAP ได้แก้ไขช่องโหว่ด้านความปลอดภัยจำนวน 20 รายการในผลิตภัณฑ์หลายรายการผ่านการอัปเดตความปลอดภัยประจำเดือนตุลาคม 2026 ซึ่งรวมถึงช่องโหว่ระดับความรุนแรงสูงสุด (Maximum Severity) ใน Cloud SDK for Python (more…)

SAP ออกแพตช์แก้ไขช่องโหว่ 15 รายการ ซึ่งเป็นส่วนหนึ่งของชุดอัปเดตความปลอดภัยประจำเดือนมิถุนายน 2026 โดยในจำนวนนี้รวมถึงช่องโหว่ระดับ Critical 4 รายการ ที่ส่งผลกระทบต่อ SAP NetWeaver และ SAP Commerce Cloud

NetWeaver เป็นแพลตฟอร์มแอปพลิเคชันหลัก และ Middleware stack ของ SAP ที่เป็นรากฐานของแอปพลิเคชันทางธุรกิจของ SAP หลายอย่าง รวมถึงระบบ ERP โดยทำหน้าที่จัดการฟังก์ชันต่าง ๆ เช่น การให้บริการแอปพลิเคชัน, การเชื่อมต่อระบบ, การยืนยันตัวตน, การจัดการผู้ใช้งาน และการประมวลผลข้อมูล

Commerce Cloud เป็นแพลตฟอร์ม e-commerce ระดับองค์กร (เดิมชื่อ Hybris) ที่ช่วยให้องค์กรต่าง ๆ สามารถสร้าง และจัดการร้านค้าออนไลน์ ช่องทางการขายดิจิทัล แคตตาล็อกสินค้า บัญชีลูกค้า และระบบจัดการคำสั่งซื้อสำหรับการค้าทั้งแบบ B2B และ B2C

ในประกาศความปลอดภัย (Security Bulletin) ประจำเดือนนี้ SAP ได้ระบุถึงช่องโหว่ Critical ที่ได้รับการแก้ไขแล้ว ดังต่อไปนี้

CVE-2026-44748 (CVSS 9.9) เป็นช่องโหว่ XML Signature Wrapping ใน SAP NetWeaver AS ABAP และ ABAP Platform ซึ่งเป็นช่องโหว่ที่ผู้โจมตีสามารถ bypass การยืนยันตัวตนใน environments ที่ใช้งาน SAML ได้
CVE-2026-27671 (CVSS 9.8) เป็นช่องโหว่ Memory corruption flaw ใน SAP NetWeaver/ABAP Platform Application Server ABAP
CVE-2026-22732 (CVSS 9.1) เป็นช่องโหว่ที่เกี่ยวข้องกับ Spring Security ซึ่งส่งผลกระทบต่อ SAP Commerce Cloud และ SAP Data Hub
CVE-2026-40128 (CVSS 9.0) เป็นช่องโหว่ Directory traversal ใน Web Container ของ SAP NetWeaver Application Server Java

คำอธิบายของ CVE-2026-44748 ระบุว่า SAP NetWeaver Application Server ABAP และ ABAP Platform เป็นช่องโหว่ที่ทำให้ผู้โจมตีที่มีสิทธิ์ทั่วไปสามารถรับ signed message อย่างถูกต้อง และยังสามารถส่งเอกสาร XML ที่มีการ signed และถูกปลอมแปลงไปยัง Verifier ได้

เหตุการณ์นี้อาจส่งผลให้ระบบยอมรับข้อมูลระบุตัวตนที่ถูกปลอมแปลง ซึ่งอาจนำไปสู่การเข้าถึงข้อมูลสำคัญของผู้ใช้ โดยไม่ได้รับอนุญาต และอาจส่งผลกระทบให้ระบบล่มได้

ในกรณีของช่องโหว่ CVE-2026-27671 ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ได้โดยไม่ต้องทำการยืนยันตัวตน ผ่านการส่ง RFC request ที่ถูกสร้างขึ้นมาเป็นพิเศษไปยัง endpoints ที่มีช่องโหว่ โดยอาศัยประโยชน์จากการตรวจสอบที่ไม่ครอบคลุมของ kernel จนทำให้หน่วยความจำเสียหาย

นอกเหนือจากช่องโหว่ด้านความปลอดภัยระดับ Critical ข้างต้นแล้ว SAP ยังได้แก้ไขช่องโหว่ระดับ High อีกสองรายการ ได้แก่ CVE-2026-29145 ซึ่งประกอบด้วยช่องโหว่ของ Apache Tomcat หลายรายการที่ส่งผลกระทบต่อ Commerce Cloud และ CVE-2026-44751 ซึ่งเป็นช่องโหว่ที่ขาดการตรวจสอบสิทธิ์ใน NetWeaver AS ABAP

บริษัทยังได้แก้ไขช่องโหว่การโจมตีแบบ SQL injection, path traversal, cross-site scripting (XSS), การปลอมแปลงอีเมล และ Authorization bypass ในผลิตภัณฑ์ต่าง ๆ ของ SAP หลายรายการ

สำหรับรายละเอียดเกี่ยวกับช่องโหว่เหล่านี้ รวมถึงคำแนะนำในการลดผลกระทบ หรือแนวทางการแก้ไขปัญหาชั่วคราวจะเปิดให้เข้าถึงได้เฉพาะลูกค้าของ SAP ที่มีบัญชี Security portal account เท่านั้น

องค์กรที่ใช้งานผลิตภัณฑ์ที่ได้รับผลกระทบควรจัดลำดับความสำคัญในการติดตั้งแพตช์ โดยเฉพาะอย่างยิ่งช่องโหว่การยืนยันตัวตน SAML (CVE-2026-44748) และปัญหาหน่วยความจำเสียหาย (CVE-2026-27671) ซึ่งถูกประเมินว่ามีความรุนแรงสูง และอาจส่งผลกระทบต่อ environments ระบบขององค์กรได้

 

ที่มา : bleepingcomputer.

พบการโจมตี Supply Chain รูปแบบใหม่ภายใต้ชื่อ “mini Shai Hulud” ซึ่งได้แพร่ระบาดไปยังแพ็กเกจ npm ที่เกี่ยวข้องกับ SAP จำนวน 4 รายการ โดยการแทรกสคริปต์อันตรายไว้ในส่วนของ preinstall ที่จะทำงานโดยอัตโนมัติขณะที่มีการติดตั้งแพ็กเกจ

การโจมตีนี้มุ่งเป้าไปที่สภาพแวดล้อมการทำงานของนักพัฒนา และระบบ CI/CD เพื่อขโมยข้อมูล Credentials จาก GitHub, npm และผู้ให้บริการคลาวด์รายใหญ่

นักวิจัยด้านความปลอดภัยจาก StepSecurity, Aikido Security, SafeDep, Socket และ Wiz พบว่า เวอร์ชันที่เป็นอันตรายของแพ็กเกจ SAP Cloud Application Programming Model (CAP) ที่ถูกต้องตามปกติ รวมถึง @cap-js/sqlite, @cap-js/postgres, @cap-js/db-service และ mbt ถูกเผยแพร่พร้อมกับเครื่องมือที่เป็นอันตรายภายใน package.

SAP ได้ออกอัปเดตความปลอดภัยประจำเดือนธันวาคม โดยแก้ไขช่องโหว่ 14 รายการในผลิตภัณฑ์ต่าง ๆ รวมถึงช่องโหว่ระดับ Critical 3 รายการ

สำหรับช่องโหว่ที่มีระดับความรุนแรงสูงสุด (CVSS Score 9.9) คือ CVE-2025-42880 ซึ่งเป็นช่องโหว่ Code Injection ที่ส่งผลกระทบต่อ SAP Solution Manager ST 720 (more…)

SAP ออกแพตซ์อัปเดตความปลอดภัยประจำเดือนพฤศจิกายน เพื่อแก้ไขช่องโหว่หลายรายการ รวมถึงช่องโหว่ที่มีระดับความรุนแรงสูงสุดใน SQL Anywhere Monitor Non-GUI และช่องโหว่ code injection ระดับ Critical ในแพลตฟอร์ม Solution Manager

(more…)

คณะกรรมาธิการยุโรปกำลังดำเนินการสอบสวน SAP ในประเด็นที่เกี่ยวข้องกับการแข่งขันในบริการสนับสนุนหลังการขาย สำหรับซอฟต์แวร์ ERP ที่ติดตั้งภายในองค์กร

(more…)

พบ Exploit code ที่รวมช่องโหว่ด้านความปลอดภัยระดับ Critical สองรายการใน SAP NetWeaver ซึ่งได้รับการแก้ไขไปแล้ว ส่งผลให้องค์กรต่าง ๆ เสี่ยงต่อการถูกโจมตี และขโมยข้อมูล (more…)

ผู้โจมตีใช้ประโยชน์จากช่องโหว่ใน SAP NetWeaver ที่มีความรุนแรงระดับ Critical หมายเลข CVE-2025-31324 เพื่อทำการติดตั้งมัลแวร์ Auto-Color บน Linux ในการโจมตีทางไซเบอร์ต่อบริษัทเคมีแห่งหนึ่งในสหรัฐอเมริกา (more…)

ช่องโหว่ระดับ Critical ในระบบ SAP NetWeaver ที่เพิ่งถูกเปิดเผย กำลังถูกกลุ่มแฮ็กเกอร์ที่เกี่ยวข้องกับรัฐบาลจีนหลายกลุ่มใช้ในการโจมตีเครือข่ายของโครงสร้างพื้นฐานสำคัญในหลายประเทศ

(more…)

กลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับจีนที่ชื่อว่า Chaya_004 ถูกพบว่ากำลังใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยที่ถูกเปิดเผยใหม่ใน SAP NetWeaver (more…)