SAP آسیب‌پذیری بحرانی NetWeaver ABAP با امتیاز CVSS 9.9 را که می‌تواند داده‌ها را افشا یا تغییر دهد، وصله کرد

شرکت SAP در قالب به‌روزرسانی‌های امنیتی ماه جولای ۲۰۲۶ خود، وصله‌هایی برای چندین آسیب‌پذیری حیاتی منتشر کرد که مهم‌ترین آن‌ها نقص CVE-2026-44747 با امتیاز CVSS 9.9 در سرور اپلیکیشن SAP NetWeaver ABAP است. این آسیب‌پذیری از نوع نوشتن خارج از محدوده (out-of-bounds write) بوده و به مهاجم احراز هویت‌شده اجازه می‌دهد از طریق خطاهای منطقی در مدیریت حافظه، دسترسی غیرمجاز به داده‌ها، تغییر اطلاعات یا از کار انداختن سیستم را رقم بزند. شرکت امنیتی Onapsis اعلام کرد که راه‌حل موقت غیرفعال‌سازی گره‌های ICF در تراکنش SICF است، اما به دلیل محدودیت‌های عملیاتی، نصب نسخه وصله‌شده هسته ABAP به شدت توصیه می‌شود.

دو آسیب‌پذیری حیاتی دیگر نیز در این به‌روزرسانی برطرف شدند: CVE-2026-27690 با امتیاز 9.1 که یک نقص قاچاق درخواست/پاسخ HTTP (HTTP request/response smuggling) در SAP Approuter است و به مهاجم احراز هویت‌نشده امکان حملات انکار سرویس (DoS) و افشای پاسخ‌های کاربران را می‌دهد؛ و CVE-2026-44761 با امتیاز 9.1 در SAP Commerce Cloud که ناشی از باقی ماندن اعتبارنامه‌های پیش‌فرض (default credentials) یک کلاینت نمونه OAuth 2.0 در محیط تولید است. بر اساس پایگاه داده NVD، مهاجم احراز هویت‌نشده می‌تواند با استفاده از این اعتبارنامه‌های شناخته‌شده، توکن دسترسی معتبر دریافت کرده و داده‌های سیستم را بخواند یا تغییر دهد. Onapsis تأکید کرد مشتریانی که کلاینت نمونه را حذف یا رمز آن را با یک مقدار منحصربه‌فرد جایگزین کرده‌اند، در معرض خطر نیستند. تاکنون هیچ شواهدی از بهره‌برداری فعال از این آسیب‌پذیری‌ها در محیط واقعی گزارش نشده، اما اعمال فوری به‌روزرسانی‌ها اکیداً توصیه می‌شود.