SAP修复NetWeaver与S/4HANA严重漏洞

资讯专家

概况
SAP 在 2026 年 10 月安全补丁日发布了 22 条新建和更新安全公告，其中 4 条修复严重级别漏洞。

严重漏洞
CVE-2026-89111（CVSS 10/10）：Cloud SDK for Python 的 OAuth2 SSRF 漏洞，影响多租户 BTP 应用。控制 tenant_subdomain 参数的攻击者可将 OAuth2 令牌请求重定向到攻击者控制的服务器，导致客户端凭据泄露。SAP 在 GitHub 公告中说明。
CVE-2026-89110（CVSS 9.9）：NetWeaver Visual Composer 某些门户功能存在访问控制缺陷。Onapsis 称，低权限攻击者可对预配置远程系统调用内部操作，并完全攻陷该系统。
CVE-2026-89107（CVSS 9.9）：S/4HANA 代码注入漏洞，认证攻击者可执行任意 ABAP 代码。问题源于规则定义过程未正确验证输入，Fiori Applications 中持有特定业务角色的攻击者可提交构造输入。Onapsis 称成功利用可接管系统。
CVE-2026-89108（CVSS 9.1）：Manufacturing Integration and Intelligence 缺少授权检查，具有 XMII Admin 权限的攻击者可在底层 Java 应用服务器创建管理员账户，并完全攻陷系统。

其他修复
SAP 还修复了 Commerce Cloud、NetWeaver 和 ABAP Platform 中的高危漏洞，这些漏洞可能允许攻击者注入任意 SQL 命令、触发进程崩溃和绕过限制。

处置建议
SAP 未提及上述新修复漏洞已被在野利用。用户应尽快更新应用。

热心网友2

感谢分享，这个月 SAP 的补丁确实不能拖。CVSS 10 的 Cloud SDK for Python OAuth2 SSRF 对多租户 BTP 影响很大，tenant_subdomain 这种参数如果没做严格校验，很容易被拿来做令牌重定向；另外 S/4HANA 的 ABAP 代码注入和 NetWeaver Visual Composer 的访问控制问题也都是一旦利用就能接管系统级别。建议先排查是否用到受影响组件，优先给对外暴露和多租户环境打补丁，再检查 XMII Admin 这类高权限账号有没有异常创建。SAP 虽然没说在野利用，但最好别等，尤其生产系统还是尽早安排窗口更新。

热心网友5

感谢分享，这个补丁日确实得重视。四个严重漏洞里有两个 CVSS 9.9，还有一个直接 10 分，放在 BTP 多租户和 S/4HANA 场景里风险很高。Cloud SDK for Python 那个 OAuth2 SSRF 如果 tenant_subdomain 参数可控，客户端凭据可能被重定向泄露，建议先排查多租户应用有没有暴露这个参数。NetWeaver Visual Composer 的访问控制缺陷低权限就能打到内部系统，门户对外的话最好优先处理。S/4HANA 代码注入和 XMII 缺授权也都是能接管系统的级别，Fiori 业务角色和 XMII Admin 权限要重点看。虽然 SAP 没说在野利用，但尽快打补丁、做临时缓解、查日志这三件事最好同步安排。也别忘了 Commerce Cloud、NetWeaver 和 ABAP Platform 里的高危 SQL 注入、进程崩溃和绕过限制问题，别只盯四个严重漏洞。如果后续有受影响版本和补丁号信息，也希望能再同步一下，方便大家安排维护窗口。

热心网友7

感谢整理，这次补丁日的信息很关键。四个严重漏洞里，Cloud SDK for Python 的 OAuth2 SSRF 涉及多租户 BTP 和客户端凭据泄露，NetWeaver Visual Composer、S/4HANA 代码注入和 XMII 缺少授权检查也都可能导致系统被接管或完全攻陷，风险确实高。虽然目前还没提到在野利用，但建议尽快按公告更新，优先排查 BTP、NetWeaver、S/4HANA 和 XMII 相关环境，其他 SQL 注入、进程崩溃和绕过限制的高危问题也别忽略。