شرکت SAP در آخرین به‌روزرسانی امنیتی خود (Security Patch Day) در اکتبر ۲۰۲۶، مجموعه‌ای از وصله‌های امنیتی را برای رفع آسیب‌پذیری‌های بحرانی در اپلیکیشن‌های سازمانی، پلتفرم‌های یکپارچه‌سازی و کتابخانه‌های توسعه‌دهندگان منتشر کرد.
این بولتن امنیتی شامل ۱۶ یادداشت امنیتی جدید، چهار هشدار امنیتی در GitHub و دو به‌روزرسانی برای یادداشت‌های قبلی است که در مجموع ۲۲ شناسه CVE را پوشش می‌دهد. از میان این موارد، چهار آسیب‌پذیری در سطح Critical ارزیابی شده‌اند.
تحلیل آسیب‌پذیری‌های بحرانی
- CVE-2026-89111: با امتیاز CVSS 10.0، خطرناک‌ترین مورد این به‌روزرسانی است. این نقص مربوط به یک آسیب‌پذیری SSRF (Server-Side Request Forgery) در OAuth2 در SAP Cloud SDK for Python (نسخه‌های قبل از 0.45.2) است. مهاجمان می‌توانند بدون نیاز به احراز هویت یا تعامل کاربر، از طریق شبکه این نقص را اکسپلویت کنند که منجر به تخریب شدید محرمانگی، یکپارچگی و در دسترس بودن سیستم می‌شود.
- CVE-2026-89110: این آسیب‌پذیری مربوط به نقص در کنترل دسترسی (Broken Access Control) در SAP NetWeaver Visual Composer است و امتیاز 9.9 دارد. برای بهره‌برداری از این نقص، مهاجم به سطح دسترسی پایین (Low Privileges) نیاز دارد، اما تعامل کاربر لازم نیست.
- CVE-2026-89107: این نقص منجر به ریسک تزریق کد (Code Injection) در قابلیت Manage Substitution/Validation Rules در SAP S/4HANA می‌شود. این مورد در نسخه‌های S4CORE 105 تا 109 مشاهده شده و از راه دور با دسترسی سطح پایین قابل بهره‌برداری است.
- CVE-2026-89108: یک نقص در بررسی مجوزها (Missing Authorization Check) در سرویس پیکربندی SAP Manufacturing Integration and Intelligence (نسخه‌های 15.4 و 15.5) شناسایی شده است. با وجود امتیاز 9.1، بهره‌برداری از آن نیازمند دسترسی سطح بالا (High Privileges) است.
سایر موارد مهم
علاوه بر موارد فوق، آسیب‌پذیری‌های دیگری از جمله یک نقص تزریق SQL (SQL Injection) با امتیاز 8.8 در SAP Commerce Cloud (CVE-2026-89113) و یک نقص فساد حافظه (Memory Corruption) با امتیاز 7.5 در Internet Communication Manager (CVE-2026-58249) شناسایی شده‌اند. مورد اخیر که مربوط به SAP NetWeaver و SAP Web Dispatcher است، بدون نیاز به احراز هویت قابل اجرا بوده و تأثیر زیادی بر در دسترس بودن (Availability) سیستم دارد.
توصیه‌های امنیتی و رفع مشکل
تا این لحظه هیچ گزارشی مبنی بر اکسپلویت فعال (Active Exploitation) در دنیای واقعی برای این آسیب‌پذیری‌ها منتشر نشده است و امتیازات ذکر شده بر اساس ریسک‌های فنی تخمین زده شده‌اند.
به مدیران سیستم و تیم‌های SOC توصیه می‌شود:
- به‌سرعت به پورتال پشتیبانی SAP مراجعه کرده و وصله‌های مربوطه را اعمال کنند.
- وضعیت نگهداری (Maintenance Status) و صلاحیت بسته‌های پشتیبانی (Support Package Eligibility) را بررسی نمایند.
- به جای اتکا به لیست نسخه‌های آسیب‌پذیر، جزئیات هر یادداشت امنیتی (Security Note) را برای دستورالعمل‌های نصب دقیق مطالعه کنند.
