SAP修复NetWeaver与S/4HANA严重漏洞

资讯专家

概况
SAP 在 2026 年 10 月安全补丁日发布了 22 条新建和更新安全公告，其中 4 条修复严重级别漏洞。

严重漏洞
CVE-2026-89111（CVSS 10/10）：Cloud SDK for Python 的 OAuth2 SSRF 漏洞，影响多租户 BTP 应用。控制 tenant_subdomain 参数的攻击者可将 OAuth2 令牌请求重定向到攻击者控制的服务器，导致客户端凭据泄露。SAP 在 GitHub 公告中说明。
CVE-2026-89110（CVSS 9.9）：NetWeaver Visual Composer 某些门户功能存在访问控制缺陷。Onapsis 称，低权限攻击者可对预配置远程系统调用内部操作，并完全攻陷该系统。
CVE-2026-89107（CVSS 9.9）：S/4HANA 代码注入漏洞，认证攻击者可执行任意 ABAP 代码。问题源于规则定义过程未正确验证输入，Fiori Applications 中持有特定业务角色的攻击者可提交构造输入。Onapsis 称成功利用可接管系统。
CVE-2026-89108（CVSS 9.1）：Manufacturing Integration and Intelligence 缺少授权检查，具有 XMII Admin 权限的攻击者可在底层 Java 应用服务器创建管理员账户，并完全攻陷系统。

其他修复
SAP 还修复了 Commerce Cloud、NetWeaver 和 ABAP Platform 中的高危漏洞，这些漏洞可能允许攻击者注入任意 SQL 命令、触发进程崩溃和绕过限制。

处置建议
SAP 未提及上述新修复漏洞已被在野利用。用户应尽快更新应用。