SAP 於2026年7月14日發布最新安全性更新，共修補多項漏洞，其中包含3項重大（Critical）等級問題，分別影響NetWeaver Application Server ABAP、Approuter與Commerce Cloud三大產品線。這三項產品分別是企業核心ERP系統的應用伺服器、雲端環境對外連線的閘道元件，以及電商平台服務，皆屬企業日常營運高度仰賴的關鍵系統。目前尚無證據顯示上述漏洞已遭到實際利用，但由於風險等級偏高，SAP用戶應儘速評估修補時程。
NetWeaver ABAP越界寫入漏洞
風險最高的CVE-2026-44747（CVSS 9.9）為越界寫入（out-of-bounds write）漏洞，影響NetWeaver Application Server ABAP。所謂越界寫入，是指程式在處理記憶體時，將資料寫入超出原本配置的範圍，進而破壞系統原有的運作邏輯。已通過驗證的攻擊者可利用記憶體管理中的邏輯錯誤造成記憶體損毀，進而導致未授權的資料存取、資料竄改，甚至使系統無法使用，對企業的資料機密性、完整性與可用性同時構成威脅。
SAP資安廠商Onapsis指出，臨時緩解措施是在SICF交易中停用所有具特定屬性的ICF節點，但此作法會同時停用SAP GUI for HTML中開啟交易的功能，並非所有客戶都能採用。Onapsis強烈建議客戶直接安裝已修補的ABAP Kernel版本，而非僅依賴暫時性措施。
Approuter請求走私漏洞
CVE-2026-27690（CVSS 9.1）影響非Cloud Foundry環境中的SAP Approuter部署，受影響版本為20.10.0以前版本，屬於HTTP請求／回應走私（HTTP request/response smuggling）漏洞。此類漏洞的成因在於前後端伺服器對HTTP請求邊界的解讀方式不一致，攻擊者藉此讓伺服器誤判請求內容。未經驗證的攻擊者可發送精心構造的HTTP請求，導致請求與回應不同步，進而洩露其他用戶的回應內容，並可能觸發拒絕服務（Denial-of-Service，DoS）攻擊，影響服務正常運作。
Commerce Cloud預設憑證漏洞
CVE-2026-44761（CVSS 9.1）影響SAP Commerce Cloud，受影響版本包含HY_COM 2205、COM_CLOUD 2211與2211-JDK21，問題源自SAP Help Portal文件曾提供的範例設定腳本。這些原本用於開發與測試環境的腳本，以硬式編碼（hard-coded）且公開已知的憑證設定OAuth 2.0用戶端，較舊版本的文件也未明確警告客戶不應將此類設定匯入正式環境。
若預設憑證未經更換，未經驗證的攻擊者即可利用公開憑證取得有效存取令牌，呼叫特定API讀取或修改系統資料，對機密性與完整性造成高度影響。由於Commerce Cloud多直接對外提供電商服務，一旦遭到入侵，除資料外洩風險外，也可能影響消費者交易安全與企業商譽。Onapsis說明，已移除範例用戶端或以強固且唯一密鑰取代預設憑證的客戶不受此漏洞影響。
因應建議
面對本次更新，資安人員可採取以下行動：
- 立即盤點企業內NetWeaver ABAP、Approuter與Commerce Cloud部署版本，確認是否受影響。
- 優先安裝CVE-2026-44747對應的ABAP Kernel修補版本，避免僅依賴SICF緩解措施。 ・稽核Commerce Cloud正式環境，確認是否存在範例OAuth 2.0用戶端，若有應立即移除或更換憑證。
- 持續關注SAP官方安全公告與Onapsis等資安廠商後續分析，掌握是否出現在野利用跡象。
本文轉載自 TheHackerNews。