SAP درباره آسیب‌پذیری‌های بحرانی در NetWeaver و Commerce Cloud هشدار می‌دهد

شرکت SAP در قالب به‌روزرسانی‌های امنیتی ماه جولای ۲۰۲۶، ۱۶ آسیب‌پذیری را در محصولات مختلف خود برطرف کرد که سه مورد از آن‌ها بحرانی ارزیابی شده‌اند. نخستین آسیب‌پذیری بحرانی (CVE-2026-44747) مربوط به خرابی حافظه (memory corruption) در سرور برنامه NetWeaver ABAP است که به مهاجمان احراز هویت‌شده امکان می‌دهد از طریق خطاهای منطقی در مدیریت حافظه، به داده‌ها دسترسی غیرمجاز داشته باشند یا سیستم را از دسترس خارج کنند. دومین نقص بحرانی (CVE-2026-27690) یک آسیب‌پذیری قاچاق درخواست HTTP (HTTP Request Smuggling) در SAP AppRouter است که مهاجمان ناشناس می‌توانند از آن برای دسترسی به پاسخ‌های کاربران و اجرای حملات انکار سرویس (denial-of-service) بهره‌برداری کنند. سومین نقص بحرانی (CVE-2026-44761) در پلتفرم تجارت الکترونیک SAP Commerce Cloud شناسایی شده و ناشی از اعتبارنامه‌های پیش‌فرض (default credentials) است که دسترسی به توکن‌های معتبر و تغییر داده‌ها از طریق برخی رابط‌های برنامه‌نویسی (API) را ممکن می‌سازد.

علاوه بر موارد بحرانی، این به‌روزرسانی شامل شش آسیب‌پذیری با شدت بالا، هفت مورد متوسط و یک مورد کم‌خطر است که طیفی از مشکلات از جمله تزریق SQL (SQL injection)، اجرای کد از راه دور (remote code execution)، اسکریپت‌نویسی بین‌سایتی (XSS) و پیکربندی‌های نادرست امنیتی را پوشش می‌دهد. هرچند SAP تاکنون شواهدی از بهره‌برداری فعال از این آسیب‌پذیری‌ها نیافته، اما آژانس CISA از نوامبر ۲۰۲۱ تاکنون ۱۴ نقص امنیتی SAP را به فهرست آسیب‌پذیری‌های بهره‌برداری‌شده شناخته‌شده (Known Exploited Vulnerabilities) افزوده که دو مورد از آن‌ها توسط باندهای باج‌افزاری (ransomware) مورد سوءاستفاده قرار گرفته‌اند. این شرکت آلمانی که ۹۹ شرکت از ۱۰۰ شرکت بزرگ جهان را به عنوان مشتری دارد، در سال مالی ۲۰۲۵ درآمدی بیش از ۳۶ میلیارد یورو گزارش کرده است.