طرحت SAP تحديثات لمعالجة العديد من الثغرات الأمنية كجزء من تحديثاتها الأمنية لشهر يوليو 2026، بما في ذلك خلل خطير في SAP NetWeaver Application Server ABAP.
نقطة الضعف المعنية هي CVE-2026-44747 (درجة CVSS: 9.9)، وهو خلل في الكتابة خارج الحدود يسمح للمهاجم المعتمد بالاستفادة من الأخطاء المنطقية في إدارة الذاكرة للتسبب في تلف الذاكرة الذي قد يؤدي إلى الوصول غير المصرح به إلى البيانات أو تعديلها أو عدم توفر النظام.
وقالت شركة SAP الأمنية Onapsis: “كحل مؤقت، تقترح المذكرة تعطيل جميع عقد ICF ذات خاصية معينة في المعاملة SICF”. “نظرًا لأن الحل البديل سيؤدي إلى تعطيل المعاملات المفتوحة في SAP GUI لـ HTML، فهو ليس خيارًا لجميع العملاء ويوصى بشدة بتثبيت إصدار تصحيح ABAP Kernel.”
كما تناولت SAP أيضًا اثنتين من نقاط الضعف الهامة الأخرى –
- CVE-2026-27690 (درجة CVSS: 9.1) – خلل في تهريب طلب/استجابة HTTP في عمليات نشر SAP Approuter في بيئات غير Cloud Foundry، مما يسمح لمهاجم غير مصادق بإرسال طلب HTTP معد خصيصًا يؤدي إلى إلغاء مزامنة الاستجابة للطلب ويؤدي إلى كشف استجابات المستخدم ويطلق هجمات رفض الخدمة (DoS).
- CVE-2026-44761 (درجة CVSS: 9.1) – استخدام ثغرة في بيانات الاعتماد الافتراضية في SAP Commerce Cloud والتي يمكن أن تحتفظ بنموذج عميل OAuth 2.0 مع بيانات اعتماد نموذجية موثقة بشكل عام تنشأ من نموذج التكوين المقدم في وثائق SAP Help Portal.
“إذا تركت دون تغيير، يمكن للمهاجم غير المصادق عليه استخدام بيانات الاعتماد المعروفة هذه للحصول على رمز وصول صالح واستدعاء واجهات برمجة تطبيقات معينة لقراءة البيانات وتعديلها،” وفقًا لوصف CVE-2026-44761 في قاعدة بيانات NIST الوطنية للثغرات الأمنية (NVD). “يؤدي الاستغلال الناجح إلى تأثير كبير على السرية والنزاهة، دون أي تأثير على التوفر.”
لاحظ Onapsis أن الثغرة الأمنية تنبع من نماذج البرامج النصية للتكوين المقدمة مسبقًا في بوابة تعليمات SAP. تعمل هذه البرامج النصية، المخصصة في الأصل للتطوير والاختبار، على تكوين عملاء OAuth 2.0 ببيانات اعتماد معروفة ومشفرة.
وأشارت إلى أن “الإصدارات القديمة من الوثائق لم تحذر العملاء صراحةً من استيراد هذه الإعدادات الافتراضية إلى الإنتاج”. “يمكن للمهاجم غير المصادق عليه الاستفادة من بيانات الاعتماد الافتراضية المتاحة للجمهور للحصول على رمز وصول صالح. باستخدام هذا الرمز، يمكنهم استدعاء واجهات برمجة تطبيقات محددة لقراءة بيانات النظام وتغييرها. يتطلب الاستغلال أن يقوم العميل بتنفيذ نموذج البرنامج النصي والاحتفاظ بعميل OAuth 2.0 الناتج في الإنتاج دون استبدال السر المشفر.”
تجدر الإشارة إلى أن العملاء الذين قاموا بإزالة نموذج العميل أو استبدال السر بقيمة فريدة قوية لا يتأثرون بالخطأ. يُنصح العملاء بمراجعة بيئات الإنتاج الخاصة بهم للتأكد من وجود نموذج عميل OAuth 2.0 المتأثر. في حالة وجود العميل، يجب إزالته.
على الرغم من عدم وجود دليل على استغلال العيوب بشكل طبيعي، إلا أنه يُنصح بتطبيق التحديثات اللازمة للحصول على الحماية المثلى.
