SAP phát hành bản vá khẩn cấp cho lỗ hổng nghiêm trọng trong CRM, S/4HANA và NetWeaver

[WhiteHat Team]

Trong đợt cập nhật bảo mật tháng 2/2026, SAP đã công bố 26 ghi chú bảo mật mới và một ghi chú được cập nhật, trong đó có hai lỗ hổng được đánh giá ở mức nghiêm trọng. Các bản vá lần này tập trung vào những thành phần cốt lõi như CRM, S/4HANA và NetWeaver Application Server ABAP.
​

Lỗ hổng nghiêm trọng đầu tiên được định danh CVE-2026-0488 với điểm CVSS 9.9, thuộc loại chèn mã trong các hệ thống CRM và S/4HANA. Vấn đề nằm ở thành phần Scripting Editor, cho phép kẻ tấn công đã xác thực khai thác để thực thi các câu lệnh SQL tùy ý. Theo phân tích từ hãng bảo mật ứng dụng doanh nghiệp Onapsis, việc khai thác thành công có thể dẫn tới xâm phạm toàn bộ cơ sở dữ liệu, ảnh hưởng nghiêm trọng đến tính bảo mật, toàn vẹn và khả dụng của hệ thống.

Lỗ hổng nghiêm trọng thứ hai, CVE-2026-0509 với điểm CVSS 9.6, liên quan đến thiếu kiểm tra phân quyền trong NetWeaver Application Server ABAP và ABAP Platform. Trong một số điều kiện nhất định, người dùng đã xác thực nhưng có đặc quyền thấp có thể thực hiện các lệnh gọi hàm từ xa ở chế độ nền mà không cần quyền S_RFC bắt buộc. Điều này tạo ra nguy cơ lạm dụng chức năng hệ thống để thực thi hành vi trái phép vượt quá phạm vi phân quyền ban đầu.

Bên cạnh hai lỗ hổng nghiêm trọng, SAP cũng phát hành bảy ghi chú bảo mật mới xử lý các vấn đề mức độ cao trong NetWeaver, Supply Chain Management, Solution Tools Plug-In, BusinessObjects và Commerce Cloud. Đáng chú ý là một lỗ hổng XML signature wrapping trong NetWeaver, cho phép kẻ tấn công gửi các tài liệu XML đã ký nhưng bị thao túng. Nếu được hệ thống chấp nhận, dữ liệu người dùng nhạy cảm có thể bị lộ và thậm chí gây gián đoạn hoạt động của hệ thống.

Các lỗ hổng mức độ cao còn lại bao gồm một trường hợp thiếu kiểm tra phân quyền, một điều kiện race condition, một lỗi chuyển hướng mở và ba lỗ hổng từ chối dịch vụ. Những vấn đề này có thể bị lợi dụng để làm gián đoạn dịch vụ hoặc khai thác sai cấu hình bảo mật trong môi trường doanh nghiệp.

Các ghi chú bảo mật còn lại xử lý các lỗ hổng mức trung bình và thấp trong nhiều thành phần như NetWeaver, BusinessObjects, Document Management System, Business Server Pages Application, Commerce Cloud, Business One, Business Workflow, các hệ thống SAP dựa trên ABAP, Fiori App, Support Tools Plug-In, S/4HANA và Strategic Enterprise Management.

SAP không ghi nhận dấu hiệu cho thấy các lỗ hổng nêu trên đã bị khai thác trong thực tế. Tuy nhiên, với mức độ ảnh hưởng trực tiếp đến các hệ thống lõi của doanh nghiệp, nhà cung cấp khuyến nghị khách hàng triển khai cập nhật trong thời gian sớm nhất nhằm giảm thiểu rủi ro bị khai thác.
​

Theo Security Week​