SAP vá lỗ hổng nghiêm trọng CVSS 9.9 trên NetWeaver ABAP

Trong đợt cập nhật bảo mật tháng 7/2026, SAP đã chính thức tung ra các bản vá cho hàng loạt lỗ hổng, trong đó đáng chú ý nhất là lỗ hổng nghiêm trọng nằm trong SAP NetWeaver Application Server ABAP.

Lỗ hổng nghiêm trọng CVE-2026-44747

Lỗ hổng này được định danh là CVE-2026-44747 với điểm CVSS lên tới 9.9. Đây là lỗi out-of-bounds write, cho phép kẻ tấn công đã xác thực lợi dụng các sai sót trong quản lý bộ nhớ để gây ra tình trạng hỏng bộ nhớ (memory corruption). Hậu quả là kẻ tấn công có thể truy cập trái phép, sửa đổi dữ liệu hoặc khiến hệ thống ngừng hoạt động.

Hãng bảo mật Onapsis khuyến cáo khách hàng nên ưu tiên cài đặt bản vá ABAP Kernel. Mặc dù có một phương án tạm thời là vô hiệu hóa các node ICF thông qua giao dịch SICF, nhưng cách này có thể gây ảnh hưởng đến SAP GUI for HTML, do đó không phải là giải pháp tối ưu cho mọi doanh nghiệp.

Các lỗ hổng quan trọng khác

Bên cạnh đó, SAP cũng đã xử lý hai lỗ hổng nghiêm trọng khác:

• CVE-2026-27690 (CVSS 9.1): Lỗ hổng HTTP request/response smuggling trong các triển khai SAP Approuter (không thuộc môi trường Cloud Foundry). Lỗ hổng này cho phép kẻ tấn công không cần xác thực thực hiện các yêu cầu HTTP được tinh chỉnh, dẫn đến tình trạng mất đồng bộ giữa yêu cầu và phản hồi, từ đó làm lộ dữ liệu người dùng hoặc gây tấn công từ chối dịch vụ (DoS).
• CVE-2026-44761 (CVSS 9.1): Lỗ hổng liên quan đến việc sử dụng thông tin xác thực mặc định trong SAP Commerce Cloud. Lỗi này xuất phát từ các cấu hình mẫu OAuth 2.0 được cung cấp trong tài liệu hướng dẫn của SAP, trong đó chứa các thông tin đăng nhập mặc định. Kẻ tấn công có thể sử dụng các thông tin này để lấy access token hợp lệ và can thiệp vào dữ liệu hệ thống.

Khuyến nghị cho doanh nghiệp

Đối với lỗ hổng liên quan đến OAuth 2.0 (CVE-2026-44761), SAP lưu ý rằng những khách hàng đã xóa các cấu hình mẫu hoặc thay thế bằng các giá trị bảo mật riêng biệt sẽ không bị ảnh hưởng. Doanh nghiệp được khuyến cáo nên rà soát lại môi trường sản xuất để kiểm tra sự tồn tại của các client OAuth 2.0 mẫu này và loại bỏ chúng ngay lập tức.

Hiện tại, chưa có bằng chứng cho thấy các lỗ hổng này đang bị khai thác trong thực tế. Tuy nhiên, để đảm bảo an toàn tối đa cho hệ thống, các quản trị viên hệ thống nên sớm áp dụng các bản cập nhật mới nhất từ SAP.

Nguồn tham khảo: The Hacker News