SAP phát hành bản vá tháng 7/2026 cho nhiều lỗ hổng nghiêm trọng tại NetWeaver ABAP
"SAP released July 2026 security updates to fix a critical out-of-bounds write in SAP NetWeaver Application Server ABAP, tracked as CVE-2026-44747 with a CVSS score of 9.9. The flaw could let an authenticated attacker cause memory corruption leading to unauthorized data access or modification and system unavailability; SAP also patched CVE-2026-27690 and CVE-2026-44761, and customers are advised to apply the updates or remove the affected sample OAuth client where applicable."
Tác động chủ yếu đến tính bí mật và toàn vẹn dữ liệu cũng như tính sẵn sàng hệ thống; trọng tâm là CVE-2026-44747 (CVSS 9.9) có thể gây memory corruption dẫn tới truy cập/sửa đổi trái phép hoặc DoS.
Nếu bị khai thác, các lỗ hổng có thể gây gián đoạn dịch vụ và tăng rủi ro rò rỉ/sửa đổi dữ liệu trong các hệ thống doanh nghiệp; cần triển khai bản vá và kiểm tra cấu hình OAuth 2.0 sample để hạn chế tác động vận hành.
SAP đã phát hành các bản cập nhật bảo mật tháng 7/2026 nhằm khắc phục nhiều lỗ hổng, đáng chú ý là một vấn đề mức độ nghiêm trọng trong SAP NetWeaver Application Server ABAP. Lỗ hổng CVE-2026-44747 ( CVSS 9.9 ) là lỗi out-of-bounds write cho phép kẻ tấn công đã xác thực gây memory corruption, từ đó có thể dẫn tới truy cập/ sửa đổi dữ liệu trái phép hoặc làm hệ thống mất sẵn sàng.
Ngoài ra, SAP cũng vá CVE-2026-27690 ( CVSS 9.1 ) liên quan đến HTTP request/response smuggling trong các triển khai SAP Approuter ở môi trường không phải Cloud Foundry, có thể gây desynchronization và dẫn tới lộ phản hồi người dùng hoặc DoS. Lỗ hổng CVE-2026-44761 ( CVSS 9.1 ) trong SAP Commerce Cloud xuất phát từ default credentials của một sample OAuth 2.0 client.
Khuyến nghị: ưu tiên áp dụng bản vá; đồng thời rà soát môi trường sản xuất để xóa sample OAuth 2.0 client hoặc thay secret bằng giá trị mạnh, duy nhất. Không có bằng chứng khai thác đang diễn ra, nhưng nên cập nhật để giảm rủi ro.