شرکت SAP در آخرین به‌روزرسانی‌های امنیتی خود، ۳۵ آسیب‌پذیری را برطرف کرده است که چهار مورد از آن‌ها دارای شدت حداکثری (Maximum Severity) بوده و نرم‌افزارهای NetWeaver، Web Dispatcher و Gateway را تحت تأثیر قرار می‌دادند.
جزئیات نقص‌های امنیتی در NetWeaver
در بخش NetWeaver Application Server ABAP، دو نقص امنیتی جدی شناسایی شده است: یک مورد مربوط به فساد حافظه (Memory Corruption) با شناسه CVE-2026-76964 و دیگری مربوط به فقدان احراز هویت (Missing Authentication) با شناسه CVE-2026-120017. این موارد در مؤلفه‌های Internet Communication Manager و SAML2 Service Provider رخ داده‌اند.
پلتفرم NetWeaver هسته اصلی نرم‌افزارهای تجاری SAP است که وظایفی نظیر یکپارچه‌سازی اپلیکیشن‌ها، احراز هویت، مدیریت کاربران و پردازش داده‌ها را بر عهده دارد.
تحلیل تهدیدات ICM2SHELL و PROXYGATE
دو آسیب‌پذیری بحرانی دیگر شامل نقص در کنترل دسترسی (Broken Access Control) در SAP Gateway (شناسه CVE-2026-89103) و فساد حافظه در SAP Web Dispatcher (شناسه CVE-2026-89126) است. این موارد در تحلیل‌های فنی به ترتیب با نام‌های PROXYGATE و ICM2SHELL شناخته می‌شوند.
- ICM2SHELL: این نقص امنیتی ترافیک عادی وب را به نقطه‌ای برای ورود مهاجمان تبدیل می‌کند و امکان اجرای کد از راه دور (RCE) را فراهم می‌سازد. در این حالت، مهاجم بدون نیاز به نام کاربری، رمز عبور یا هرگونه تعامل با کاربر، می‌تواند به مؤلفه‌ای که مستقیماً با شبکه در ارتباط است، نفوذ کند.
- PROXYGATE: این آسیب‌پذیری با فریب دادن SAP Gateway عمل می‌کند، به‌طوری که مهاجم خارجی و بدون احراز هویت، به عنوان یکی از سرورهای اپلیکیشن داخلی شناسایی می‌شود. نتیجه این نقص، دسترسی کامل به سیستم SAP با سطح دسترسی حساب کاربری نصب‌کننده (Installation Account) است که در سیستم‌های ERP تولیدی، به معنای افشای مستقیم داده‌های تجاری و به خطر افتادن یکپارچگی تراکنش‌هاست.
تأثیرات گسترده و سوابق امنیتی
شرکت SAP امتیاز 10/10 در مقیاس CVSS را به این چهار آسیب‌پذیری اختصاص داده و تأکید کرده است که مهاجمان بدون احراز هویت می‌توانند از آن‌ها برای تسلط کامل بر سیستم‌های هدف از راه دور استفاده کنند.
این حوادث در ادامه زنجیره‌ای از نقص‌های امنیتی شدید در ماه‌های اخیر است. پیش از این، آسیب‌پذیری CVE-2026-58231 در پلتفرم Commerce Cloud شناسایی شده بود که گزارش‌هایی مبنی بر بهره‌برداری فعال (Active Exploitation) از آن منتشر شد. همچنین نقص‌های دیگری مانند OVERPASS (فساد حافظه در SAP Kernel) و یک آسیب‌پذیری SSRF در OAuth2 (شناسه CVE-2026-89111) در نسخه‌های قبلی برطرف شده بودند.
آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) تاکنون ۱۴ نقص امنیتی در محصولات SAP را به عنوان موارد مورد بهره‌برداری فعال شناسایی کرده است که سه مورد از آن‌ها توسط گروه‌های باج‌افزار (Ransomware) مورد استفاده قرار گرفته‌اند.
