Ngày SAP’s June Security Patch Day, diễn ra vào thứ Ba, ngày 9 tháng 6, đã công bố 15 bản vá bảo mật mới, giải quyết một loạt các lỗ hổng nghiêm trọng trên các sản phẩm cốt lõi của SAP. Trong đó, bốn lỗ hổng được xếp hạng critical-severity đòi hỏi sự chú ý khẩn cấp từ các doanh nghiệp. SAP khuyến cáo mạnh mẽ tất cả khách hàng truy cập Cổng hỗ trợ SAP (SAP Support Portal) và ưu tiên áp dụng các bản vá để bảo vệ hệ thống SAP của họ, giúp tăng cường an ninh mạng.
Lỗ hổng nghiêm trọng được vá
CVE-2026-44748: XML Signature Wrapping trong SAML Authentication
Lỗ hổng nghiêm trọng nhất được vá trong chu kỳ này là CVE-2026-44748 với điểm CVSS 9.9. Đây là một lỗ hổng XML Signature Wrapping trong cơ chế xác thực SAML, ảnh hưởng đến SAP NetWeaver AS ABAP và ABAP Platform.
Lỗ hổng này cho phép kẻ tấn công đã được xác thực với đặc quyền thấp thu thập một thông điệp đã ký hợp lệ và gửi các tài liệu XML đã sửa đổi đến bộ xác minh. Điều này có thể dẫn đến việc chấp nhận thông tin định danh đã bị giả mạo, truy cập trái phép vào dữ liệu người dùng nhạy cảm và leo thang đặc quyền trên các hệ thống doanh nghiệp. Lỗ hổng này tồn tại trên một phạm vi phiên bản SAP_BASIS rất rộng, từ 702 đến 919.
CVE-2026-27671: Lỗi quản lý bộ nhớ trong Application Server ABAP Kernel
Một lỗ hổng nghiêm trọng thứ hai, CVE-2026-27671 (CVSS 9.8), nhắm vào Application Server ABAP kernel và gây ra rủi ro hỏng bộ nhớ thông qua việc xác thực giao thức RFC không đúng cách.
Không giống như lỗ hổng SAML, lỗ hổng này không yêu cầu xác thực. Kẻ tấn công có thể gửi một yêu cầu RFC được tạo đặc biệt, khai thác các lỗi logic trong quản lý bộ nhớ mà không cần bất kỳ thông tin xác thực hợp lệ nào. Điều này dẫn đến việc xâm phạm nghiêm trọng tính bảo mật (confidentiality), toàn vẹn (integrity) và khả dụng (availability). Các thành phần bị ảnh hưởng bao gồm nhiều phiên bản KRNL64NUC, KRNL64UC và KERNEL.
CVE-2026-22732: Lỗ hổng Spring Security trong SAP Commerce Cloud
CVE-2026-22732 (CVSS 9.1) vá một lỗ hổng trong Spring Security, ảnh hưởng đến SAP Commerce Cloud và SAP Data Hub. Lỗ hổng này cho phép kẻ tấn công từ xa không cần xác thực gây ảnh hưởng đến tính bảo mật và toàn vẹn mà không cần tương tác với người dùng.
CVE-2026-40128: Directory Traversal trong SAP NetWeaver Java Web Container
Lỗ hổng cuối cùng trong nhóm critical là CVE-2026-40128 (CVSS 9.0). Đây là một lỗ hổng Directory Traversal trong SAP NetWeaver Application Server Java Web Container (ENGINEAPI 7.50). Kẻ tấn công có thể truy cập từ xa và duyệt qua các cấu trúc thư mục để truy cập các tài nguyên nhạy cảm, gây ảnh hưởng nghiêm trọng đến tính bảo mật, toàn vẹn và khả dụng.
Các lỗ hổng quan trọng khác
SAP cũng đã xử lý hai bản vá có mức độ ưu tiên cao (high-priority).
CVE-2026-29145: Lỗ hổng Apache Tomcat trong SAP Commerce Cloud
CVE-2026-29145 (CVSS 7.4) tổng hợp nhiều lỗ hổng trong Apache Tomcat, bao gồm CVE-2025-66614 và CVE-2026-24734 trong SAP Commerce Cloud (HY_COM 2205, COM_CLOUD 2211). Những lỗ hổng này cho phép kẻ tấn công không cần xác thực khai thác các điểm yếu trong máy chủ Tomcat nhúng.
CVE-2026-44751: Thiếu kiểm tra phân quyền trong SAP NetWeaver AS ABAP
CVE-2026-44751 (CVSS 7.1) khắc phục lỗi Missing Authorization Check trong SAP NetWeaver AS ABAP và ABAP Platform, ảnh hưởng đến các phiên bản SAP_BASIS từ 700 đến 816. Kẻ tấn công mạng với đặc quyền thấp có thể đạt được ảnh hưởng toàn vẹn cao và gián đoạn khả dụng một phần.
CVE-2026-44744: SQL Injection trong SAP S/4HANA
Lỗ hổng SQL Injection trong SAP S/4HANA (CVE-2026-44744, CVSS 6.5) là một nguy cơ rò rỉ dữ liệu đáng chú ý. Nó cho phép kẻ tấn công có đặc quyền thấp và đã được xác thực truy vấn nội dung cơ sở dữ liệu nhạy cảm thông qua các đầu vào được tạo đặc biệt trên các phiên bản S4FND từ 102 đến 109.
Các lỗ hổng cấp thấp hơn
Các lỗ hổng cấp thấp hơn bao gồm Reflected XSS trong JDBC Test Servlet của SAP NetWeaver (CVE-2026-44746) và cảnh báo liên quan đến Log4j trong SAP NetWeaver AS Java (CVE-2025-68161). Lỗ hổng Log4j, dù có vẻ ít nghiêm trọng hơn, vẫn là lời nhắc nhở về rủi ro tồn dư từ các thư viện bên thứ ba được sử dụng trong các sản phẩm SAP.
Ưu tiên khắc phục
Các nhóm bảo mật quản lý môi trường SAP nên ưu tiên khắc phục theo thứ tự sau:
- Các lỗ hổng Critical-severity (CVE-2026-44748, CVE-2026-27671, CVE-2026-22732, CVE-2026-40128).
- Các lỗ hổng High-priority (CVE-2026-29145, CVE-2026-44751).
- Các lỗ hổng còn lại.
Ngày SAP Security Patch Day được lên lịch vào thứ Ba thứ hai của mỗi tháng. Các tổ chức được khuyến cáo mạnh mẽ triển khai một quy trình quản lý bản vá SAP có cấu trúc và theo dõi cổng SAP Security Notes tại đây để nhận các bản cập nhật ngoài kế hoạch sau chu kỳ vá lỗi này. Việc cập nhật bản vá kịp thời là yếu tố then chốt để duy trì an toàn thông tin.
