SAP 安全补丁日：2026年5月
发布于 2026年5月12日 · 16 条安全说明 · 来源：CVE.org 上的 CVE 记录（SAP 为 CNA）
计划日期：2026年5月12日（每月第二个星期二）
- SAP 安全说明
- 16
- 严重
- 2
- 高
- 1
- 最高 CVSS
- 9.6
- 已被利用
- 0
优先级依据 CVSS 推算，并非 SAP 的优先级：CVSS 9.0 及以上为严重，7.0 及以上为高，4.0 及以上为中，低于 4.0 为低。SAP 自己的优先级仅见于 SAP for Me（需要 SAP 登录）。
本月摘要
共 16 条带 SAP CVE 的安全说明，其中严重 2 条、高 1 条（优先级依据 CVSS 推算，并非 SAP 的优先级），最高 CVSS 9.6。
优先修补
排序依据：是否已知被利用（CISA KEV），其次是优先级（依据 CVSS 推算，并非 SAP 的优先级），再次是 CVSS 分数。仅供分诊参考，不能替代您自己的风险评估。
SQL injection vulnerability in SAP S/4HANA (SAP Enterprise Search for ABAP)
Missing authentication check in SAP Commerce cloud configuration
OS Command Injection Vulnerability in SAP Forecasting & Replenishment
需要针对您自己的系统环境分诊本月的安全说明？ SAP 安全服务（digitaldisciple.dev）
全部安全说明
优先级依据 CVSS 推算，并非 SAP 的优先级：CVSS 9.0 及以上为严重，7.0 及以上为高，4.0 及以上为中，低于 4.0 为低。SAP 自己的优先级仅见于 SAP for Me（需要 SAP 登录）。
覆盖范围：本站依据 SAP 的 CVE 记录整理，因此没有 CVE 的安全说明、只有第三方 CVE（例如 Apache 或 OpenSSL）的安全说明，以及对早先安全说明的更新均未收录，约占新安全说明的 7%。
显示 16 / 16
| 标题 | CVE | ||||
|---|---|---|---|---|---|
| 3724838 | SQL injection vulnerability in SAP S/4HANA (SAP Enterprise Search for ABAP) 新发布 | SAP S/4HANA | 严重 | 9.6 | CVE-2026-34260 |
| 3733064 | Missing authentication check in SAP Commerce cloud configuration 新发布 | SAP Commerce cloud configuration | 严重 | 9.6 | CVE-2026-34263 |
| 3732471 | OS Command Injection Vulnerability in SAP Forecasting & Replenishment 新发布 | SAP Forecasting & Replenishment | 高 | 8.2 | CVE-2026-34259 |
| 3730019 | OS Command Injection vulnerability in SAP NetWeaver Application Server for ABAP and ABAP Platform 新发布 | SAP NetWeaver AS ABAP / ABAP Platform | 中 | 6.5 | CVE-2026-40135 |
| 3718083 | Missing Authorization check in SAP S/4HANA Condition Maintenance 新发布 | SAP S/4HANA Condition Maintenance | 中 | 6.3 | CVE-2026-40133 |
| 3727717 | Cross-Site Scripting (XSS) vulnerability in Business Server Pages Application (TAF_APPLAUNCHER) 新发布 | Business Server Pages Application | 中 | 6.1 | CVE-2026-40137 |
| 3667593 | Cross Site Request Forgery (CSRF) in SAP BusinessObjects Business Intelligence Platform 新发布 | SAP BusinessObjects BI Platform | 中 | 5.4 | CVE-2026-0502 |
| 3721959 | Missing Authorization Check in SAP Strategic Enterprise Management (BSP application Balanced Scorecard Wizard) 新发布 | SAP Strategic Enterprise Management | 中 | 5.4 | CVE-2026-40132 |
| 3726583 | Content Spoofing vulnerability in SAPUI5 (Search UI) 新发布 | SAPUI5 | 中 | 4.7 | CVE-2026-34258 |
| 3728690 | Reflected Cross-Site Scripting (XSS) vulnerability in SAP NetWeaver Application Server ABAP (Applications based on Business Server Pages) 新发布 | SAP NetWeaver AS ABAP / ABAP Platform | 中 | 4.7 | CVE-2026-27682 |
| 3433366 | Information Disclosure vulnerability in SAP Gateway 新发布在补丁日以外发布 | SAP Gateway | 中 | 4.3 | CVE-2026-44749 |
| 3713521 | Denial of service (DoS) in SAP Financial Consolidation 新发布 | SAP Financial Consolidation | 中 | 4.3 | CVE-2026-40136 |
| 3718508 | Missing Authorization Check in SAP Incentive and Commission Management 新发布 | SAP Incentive and Commission Management | 中 | 4.3 | CVE-2026-40134 |
| 3735359 | Code Injection vulnerability in SAP Application Server ABAP for SAP NetWeaver and ABAP Platform 新发布 | SAP Application Server ABAP for SAP NetWeaver and ABAP Platform | 中 | 4.3 | CVE-2026-40129 |
| 3726962 | SQL Injection vulnerability in SAP HANA Deployment Infrastructure (HDI) deploy library 新发布 | SAP HANA Deployment Infrastructure (HDI) deploy library | 低 | 3.4 | CVE-2026-40131 |
| 3665042 | CSS Injection vulnerability in SAP NetWeaver Application Server ABAP 新发布在补丁日以外发布 | SAP NetWeaver AS ABAP / ABAP Platform | 低 | 3.1 | CVE-2026-27680 |