Hari Tampalan Keselamatan SAP: Oktober 2026

Ringkasan kami

Hari Tampalan Oktober 2026 (13 Oktober): SAP menerbitkan rekod CVE bagi 20 entri: 16 nota keselamatan SAP baharu dan 4 nasihat keselamatan GitHub untuk pustaka sumber terbuka SAP (kemas kini kepada nota terdahulu tidak diliputi). Empat daripadanya Kritikal mengikut CVSS, diketuai oleh SSRF dengan CVSS 10.0 dalam SAP Cloud SDK for Python dan dua kelemahan 9.9 dalam SAP NetWeaver Visual Composer dan SAP S/4HANA. Tiada CVE bulan ini yang tersenarai dalam katalog CISA KEV (keluaran 16 Oktober 2026).

Mengikut keutamaan (diterbitkan daripada CVSS, bukan keutamaan SAP): 4 Kritikal, 3 Tinggi, 12 Sederhana dan 1 Rendah. Kebanyakan nota Sederhana ialah pembaikan skrip rentas laman (XSS) dan semakan kebenaran yang tiada dalam SAP NetWeaver Enterprise Portal, SAPUI5 dan tindanan ABAP.

Visual Composer wajar diberi perhatian lebih. Dua CVE SAP yang ditambah oleh CISA ke katalog KEV pada 2025, CVE-2025-31324 dan CVE-2025-42999 (nota 3594142 dan 3604119), terdapat dalam pelayan pembangunan SAP NetWeaver Visual Composer. Nota 3797111 bulan ini (CVE-2026-89110, CVSS 9.9) ialah isu kawalan akses yang rosak dalam SAP NetWeaver Visual Composer (VC70RUNTIME 7.50). Baca setiap nota di SAP for Me (log masuk SAP diperlukan) sebelum anda menampal.

Tiga daripada empat nasihat keselamatan GitHub adalah untuk alatan dan pustaka pembangun (cla-assistant, yeoman-ui, cloud-security-services-integration-library). Ia dibaiki dengan menaik taraf pakej, bukan dengan menggunakan nota SAP.

Tampalan yang perlu didahulukan

Disusun mengikut: eksploitasi yang diketahui (CISA KEV), kemudian keutamaan (diterbitkan daripada CVSS, bukan keutamaan SAP), kemudian CVSS. Ini alat bantu triaj, bukan pengganti penilaian risiko anda sendiri.

1. 1
   3797111KritikalCVSS 9.9

   Broken Access Control in SAP NetWeaver Visual Composer

   CVSS 9.9, boleh dicapai melalui rangkaian dengan keistimewaan rendah (AV:N/PR:L), dalam SAP NetWeaver Visual Composer; dua CVE Visual Composer 2025 tersenarai dalam CISA KEV.

2. 2
   3805589KritikalCVSS 9.9

   Code Injection vulnerability in SAP S/4HANA (Manage Substitution/Validation Rules)

   Suntikan kod dengan CVSS 9.9 dalam S/4HANA Manage Substitution/Validation Rules (S4CORE 105–109); menjejaskan sistem ERP teras.

3. 3
   GHSA-4mv3-jxxm-9cx2KritikalCVSS 10.0

   OAuth2 SSRF vulnerability in SAP Cloud SDK for Python

   CVSS 10.0, SSRF tanpa pengesahan. Jika anda menggunakan SAP Cloud SDK for Python, naik taraf ke 0.45.2 atau lebih baharu.

4. 4
   3798788KritikalCVSS 9.1

   Missing Authorization check in SAP Manufacturing Integration and Intelligence (Configuration Service)

   Kebenaran yang tiada dengan CVSS 9.1 dalam SAP MII Configuration Service (XMII 15.4, 15.5).

5. 5
   3765424TinggiCVSS 7.5

   Memory Corruption vulnerability in SAP NetWeaver and SAP Web Dispatcher (Internet Communication Manager)

   CVSS 7.5, kerosakan memori tanpa pengesahan dalam ICM, yang turut disertakan dalam SAP Web Dispatcher. Web Dispatcher sering terdedah kepada internet.

Perlukan triaj nota bulan ini untuk landskap anda sendiri? Khidmat keselamatan SAP (digitaldisciple.dev)