Из 20 уязвимостей, которые устраняет новый кумулятивный патч SAP, две относятся к критическому спектру. Настолько критическому, что эти уязвимости получили собственные имена.

Уязвимость Overpass

Компания SAP выпустила обновления, устраняющие 20 уязвимостей в различных продуктах. В их числе - критическая уязвимость в коде ядра продуктов SAP, которая может приводить к повреждению памяти. Этой уязвимости присвоена максимально возможная оценка степени угрозы. Еще одна критическая уязвимость связана с недостатками аутентификации и угрожает всем приложениям SAP в каждой отдельной сети.

SAP — транснациональная компания немецкого происхождения, специализация которой - разработка программного обеспечения. Ее совокупная выручка в 2025 финансовом году превысила 36 миллиардов евро. Компания предоставляет услуги 99 из 100 крупнейших компаний мира.

Уязвимость под индексом CVE-2026-44756 получила собственное название OVERPASS. Ее выявили и описали исследователи компании Onapsis.

В общем и целом, уязвимость про стекает из заурядной ошибки переполнения буфера в библиотеке обработки протокола Extended Passport Protocol (EPP).

Успешная эксплуатация уязвимости позволяет злоумышленникам без привилегий выполнять произвольные команды на уязвимых хостах SAP с административными правами, что приводит к полной компрометации базовых процессов SAP и бизнес-данных.

Уязвимость может эксплуатироваться через SAP Internet Communication Manager (ICM), сетевой компонент сервера приложений SAP, который соединяет систему SAP (SAP NetWeaver Application Server) с Интернетом через HTTP, HTTPS и SMTP.

По оценкам Onapsis, более 10 000 доступных через интернет систем SAP используют уязвимый компонент и представляют собой готовые мишени для атак, включающих эксплуатацию CVE-2026-44756.

В Onapsis, впрочем, считают, что 10 000 - это консервативный показатель.

Технический директор компании Дж. Перес-Этчегойен заявил, что эта цифра учитывает «только системы, доступные по протоколу HTTP, и существенно занижает показатели SAP Web Dispatcher, который выступает в качестве прокси для своего бэкэнда и не возвращает никакого отличительного баннера SAP по своему корневому пути, что затрудняет идентификацию сканерами, работающими в масштабах всего интернета».

Уязвимость S4GET

Сегодня SAP также устранила CVE-2026-58240, еще одну критическую уязвимость, связанную с отсутствием аутентификации в сервере сообщений SAP NetWeaver. В Onapsis Research Labs ее назвали S4GET.

В результате успешной эксплуатации неавторизованные злоумышленники могут получить доступ ко всему кластеру систем SAP и удаленно выполнять вредоносные программы и произвольные команды через сеть.

«Уязвимость активируется через тот же общедоступный порт, к которому подключается каждый клиент SAP GUI, поэтому ее невозможно обойти с помощью брандмауэра, не нарушив авторизацию конечного пользователя», - отметил исследователь безопасности компании Onapsis Пабло Артузо (Pablo Artuso).

«Для эксплуатации не требуются учетные данные, сертификаты, некорректный настройки также не являются обязательным условием. Успешная атака обеспечивает полное удаленное выполнение кода от имени пользователя adm, пользователя операционной системы, запускающего SAP, на каждом сервере приложений в кластере».

В прошлом месяце SAP устранила еще одну уязвимость максимальной серьезности (CVE-2026-58231), обнаруженную в облачной платформе электронной коммерции Commerce Cloud, которую эксперты по кибербезопасности компании Defused обозначили как активно эксплуатируемую спустя несколько дней после выхода исправления.

С ноября 2021 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило 14 уязвимостей в системе безопасности SAP в свой список активно используемых уязвимостей, в том числе три, которыми воспользовались группировки, занимающиеся вымогательством.

«Популярность SAP в корпоративном секторе гарантирует повышенный интерес киберкриминала к ошибкам в его коде, а десятибалльной «баг» - это просто подарок», - считает Михаил Зайцев, эксперт по информационной безопасности компании SEQ.

По его мнению, ожидать начала волны атак следует уже в ближайшие дни, если не часы.

• Какой дисплей для смартфона лучше: AMOLED или IPS?