SAP jūlija ielāps aizver trīs kritiskas kļūdas — smagākā NetWeaver ABAP kodolā ar CVSS 9.9

SAP 14. jūlijā izlaida ikmēneša drošības ielāpu ar 16 jaunām drošības piezīmēm, un trim no tām ir augstākā HotNews prioritāte. Smagākā ir CVE-2026-44747 ar CVSS vērtējumu 9,9 no 10 — atmiņas bojājuma kļūda NetWeaver Application Server ABAP kodolā, ko BleepingComputer un drošības firma Onapsis apraksta kā tādu, kas skar gan vecos, gan pašreizējos kodola laidienus.

NetWeaver ABAP ir izpildvide, uz kuras darbojas lielākā daļa SAP biznesa sistēmu, tāpēc kļūda kodolā skar daudzas ražošanas instalācijas. Pārējās divas kritiskās kļūdas atrodas SAP Approuter un Commerce Cloud. Nevienai no trim, pēc SAP un Onapsis datiem, pagaidām nav reālu uzbrukumu, un publisks ekspluatācijas kods nav pieejams. Blakus tām SAP šomēnes salaboja vēl sešas augstas prioritātes kļūdas, tostarp DLL nolaupīšanu, SQL injekciju un XSS.

Kļūda ABAP kodolā ļauj pārrakstīt atmiņu

CVE-2026-44747 rodas no loģiskām kļūdām atmiņas pārvaldībā. Autentificēts uzbrucējs tās var izmantot, lai kodolā izraisītu atmiņas bojājumu — rakstīšanu ārpus atvēlētajām robežām jeb out-of-bounds write. Pēc tam uzbrucējs var piekļūt datiem, tos mainīt vai apturēt sistēmu, tāpēc kļūda skar konfidencialitāti, integritāti un pieejamību reizē. Tieši šī kombinācija deva CVSS 9,9.

Kļūda ir plašā kodola versiju diapazonā: KERNEL no 7.22 līdz 9.20, kā arī KRNL64NUC un KRNL64UC laidienos no 7.22 līdz 7.22EXT. Tas nozīmē, ka skarti gan gadus veci laidieni, gan svaigas instalācijas. SecurityWeek norāda, ka labojums prasa ABAP kodola atjaunināšanu, un tam vajag plānotu dīkstāvi. SAP piedāvā pagaidu risinājumu — atslēgt konkrētus ICF mezglus — taču tas pārtrauc piekļuvi HTML GUI, tāpēc lielākā daļa administratoru to ilgstoši turēt nevar.

Kļūdai vajag autentificētu uzbrucēju, tātad anonīmam cilvēkam no interneta ar to nepietiek. Praksē tas maz mierina: lielām SAP instalācijām ir simtiem dialoga un dienesta kontu, un pietiek ar vienu nozagtu vai pikšķerēšanā iegūtu zema līmeņa kontu, lai kļūda kļūtu izmantojama. Kad uzbrucējs jau ir kodolā, parastais tiesību dalījums vairs nepalīdz.

Kodola labojums prasa dīkstāvi, bet pagaidu risinājums atslēdz HTML GUI. Daudzām komandām izvēle ir starp plānotu apturēšanu tagad vai atvērtu 9,9 kļūdu, kamēr atrodas remonta logs.

Approuter caurums ļauj lasīt svešas atbildes

Otrā kritiskā kļūda, CVE-2026-27690 ar CVSS 9,1, atrodas SAP Approuter — Node.js starpprogrammatūrā, kas maršrutē pieprasījumus SAP Business Technology Platform lietotnēs. Approuter sēž uz robežas starp lietotāju un backend servisiem, tāpēc, kas notiek ar tā apstrādāto trafiku, redz visas aiz tā esošās lietotnes. Kļūda skar izvietojumus ārpus Cloud Foundry.

Neautentificēts uzbrucējs var nosūtīt īpaši veidotu HTTP pieprasījumu, kas desinhronizē pieprasījumu un atbilžu plūsmu — tā saukto HTTP request smuggling. Kad Approuter un backend savā starpā vairs nav vienisprātis par to, kur beidzas viens pieprasījums un sākas nākamais, uzbrucēja pieprasījums var savākt atbildi, kas paredzēta citam lietotājam. Tā uzbrucējs var redzēt svešas sesijas datus vai novest serveri offline. Labojums ir ievainojamās Node.js pakotnes atjaunināšana.

Commerce Cloud paraugskriptos palikušas noklusējuma paroles

Trešā kritiskā kļūda, CVE-2026-44761, arī ar CVSS 9,1, nāk no pašas SAP dokumentācijas paraugskriptiem. Tajos bija ierakstīti OAuth2 klienta akreditācijas dati, kas ir publiski pieejami. Problēma rodas tad, kad izstrādes komanda paraugu nokopē tieši produkcijā un aizmirst nomainīt noklusējuma vērtības — pazīstams scenārijs, jo paraugkods tam arī ir domāts. Neautentificēts uzbrucējs ar šīm noklusējuma parolēm var iegūt derīgu piekļuves marķieri un pēc tam lasīt vai mainīt datus caur atsevišķām API. Skartas versijas HY_COM 2205 un COM_CLOUD 2211.

Šo kļūdu ielāps automātiski neaizver. Onapsis norāda, ka administratoriem pašiem jāpārbauda sava vide un jādzēš SAP paraugkonfigurācijas OAuth2 klienti, ja tie jelkad nokļuvuši produkcijā.

Vai kļūdas jau izmanto

Pēc SAP un Onapsis datiem, nevienai no trim kļūdām pagaidām nav reālu uzbrukumu vai publiska demonstrācijas koda. Tas nedod daudz laika. SAP sistēmas glabā uzņēmumu finanšu un personāla datus, un pagātnē kritiskas NetWeaver kļūdas uzbrucēji sāka izmantot ātri pēc atklāšanas. Onapsis Research Labs, kas palīdzēja izstrādāt daļu šā mēneša labojumu, iesaka kodola ielāpu likt kā pirmo, jo tam ir augstākais CVSS un tas skar visvairāk sistēmu.

Trīs kļūdām ir trīs atšķirīgi remonta veidi, un tas apgrūtina vienu vienotu plānu. Kodola kļūda prasa binārā kodola nomaiņu un dīkstāvi. Approuter kļūdu aizver Node.js pakotnes atjauninājums, ko var izlaist bez lielas apturēšanas. Commerce Cloud kļūdai ielāpa nav vispār — jāiztīra konfigurācija.

Administratoriem, kuri nevar uzreiz plānot dīkstāvi kodola atjaunināšanai, jārēķinās, ka pagaidu ICF risinājums pārtrauks HTML GUI piekļuvi. Commerce Cloud lietotājiem darāmais ir citāds. Šeit nepietiek ar ielāpu — jāatrod un manuāli jāizdzēš dokumentācijas paraugu OAuth2 klienti no savas sistēmas.

Avoti

• BleepingComputer — SAP warns of critical flaws in NetWeaver and Commerce Cloud
• SecurityWeek — SAP Patches Critical Vulnerabilities in NetWeaver, Approuter, Commerce Cloud
• Onapsis — SAP Security Patch Day July 2026
• SecurityOnline — SAP Patch Day July 2026: CVE-2026-44747 (CVSS 9.9)
• SAP — Security Patch Day July 2026