SAP phát hành bản vá khẩn cấp cho 22 lỗ hổng bảo mật nghiêm trọng

• Cập nhật khẩn cấp: SAP đã phát hành 16 bản tin bảo mật mới và 2 bản cập nhật bổ sung, giải quyết tổng cộng 22 lỗ hổng.
• Mức độ nghiêm trọng: Bốn lỗ hổng được xếp hạng Critical (nguy cấp), bao gồm các lỗi Code Injection, SSRF và Broken Access Control.
• Phạm vi ảnh hưởng: Các sản phẩm chủ chốt như S/4HANA, NetWeaver, Web Dispatcher và Cloud SDK đều nằm trong danh sách cần vá lỗi ngay lập tức.
• Khuyến nghị: Quản trị viên cần đối chiếu phiên bản hệ thống với danh sách của nhà cung cấp để triển khai bản vá phù hợp.

Trong đợt phát hành bản vá định kỳ tháng 10/2026, SAP đã công bố các bản cập nhật quan trọng nhằm khắc phục hàng loạt lỗ hổng bảo mật, từ các lỗi tiêm mã độc (code injection) đến các vấn đề về kiểm soát truy cập và bảo mật đám mây. Đợt cập nhật này bao gồm 16 bản tin bảo mật mới, 4 tư vấn bảo mật từ GitHub và 2 bản cập nhật cho các ghi chú trước đó, tạo thành một chu kỳ vá lỗi quan trọng cho các tổ chức đang vận hành hệ thống SAP.

Phân tích các lỗ hổng bảo mật trọng yếu

Các nhà nghiên cứu bảo mật đã xác định được 4 lỗ hổng có mức độ nghiêm trọng cao nhất (Critical), đòi hỏi sự ưu tiên xử lý từ đội ngũ vận hành hệ thống. Dưới đây là chi tiết các lỗ hổng đáng chú ý nhất:

CVE-2026-89107: Lỗ hổng Code Injection trong S/4HANA

Lỗ hổng CVE-2026-89107 với điểm số CVSS 9.9 ảnh hưởng đến tính năng Manage Substitution/Validation Rules trong SAP S/4HANA (phiên bản S4CORE 105 đến 109). Lỗi này xuất phát từ việc kiểm tra đầu vào không đầy đủ đối với ngôn ngữ kịch bản được sử dụng cho các quy tắc kinh doanh. Một kẻ tấn công đã xác thực có thể gửi các đầu vào được chế tạo đặc biệt, khiến hệ thống thực thi mã ABAP trái phép, từ đó chiếm quyền kiểm soát hệ thống.

CVE-2026-89111: Lỗ hổng SSRF trong SAP Cloud SDK

Đạt mức điểm tối đa CVSS 10.0, CVE-2026-89111 là lỗ hổng giả mạo yêu cầu phía máy chủ (SSRF) trong SAP Cloud SDK cho Python (phiên bản trước 0.45.2). Trong các ứng dụng đa người thuê (multi-tenant) trên SAP Business Technology Platform, kẻ tấn công có thể thao túng tham số tenant_subdomain để chuyển hướng yêu cầu token đến máy chủ do chúng kiểm soát, dẫn đến rò rỉ thông tin xác thực khách hàng.

CVE-2026-58249: Lỗi Memory Corruption trong NetWeaver

Lỗ hổng CVE-2026-58249 (CVSS 7.5) ảnh hưởng đến thành phần Internet Communication Manager trong SAP NetWeaver và Web Dispatcher. Lỗi này cho phép kẻ tấn công từ xa gửi các yêu cầu độc hại mà không cần xác thực, gây ra lỗi xử lý bộ nhớ và làm treo tiến trình hệ thống. Mặc dù không trực tiếp dẫn đến thực thi mã, nhưng nó gây ảnh hưởng nghiêm trọng đến tính sẵn sàng (availability) của dịch vụ.

Bảng tổng hợp các lỗ hổng bảo mật

Hướng dẫn phòng thủ và khắc phục

⚠️ Cảnh báo quan trọng: Các lỗ hổng này có thể bị khai thác để chiếm quyền điều khiển hệ thống hoặc đánh cắp dữ liệu nhạy cảm. Quản trị viên cần thực hiện các bước sau:

• Đánh giá mức độ ảnh hưởng: Kiểm tra danh sách các thành phần đang chạy trong môi trường doanh nghiệp so với danh sách các phiên bản bị ảnh hưởng do SAP cung cấp.
• Ưu tiên vá lỗi: Tập trung vào các lỗ hổng có điểm CVSS cao nhất, đặc biệt là các lỗi CVE-2026-89111, CVE-2026-89110 và CVE-2026-89107.
• Cập nhật thư viện: Đối với người dùng SAP Cloud SDK, cần nâng cấp lên phiên bản 0.45.2 hoặc mới hơn ngay lập tức.
• Giám sát hệ thống: Theo dõi các nhật ký truy cập (logs) để phát hiện các dấu hiệu bất thường liên quan đến các yêu cầu HTTP hoặc các lệnh thực thi mã ABAP lạ.

Để biết thêm chi tiết về các bản vá, quản trị viên có thể tham khảo tài liệu hướng dẫn từ CISA hoặc các thông báo bảo mật chính thức từ SAP. Việc duy trì quy trình quản lý bản vá (patch management) nghiêm ngặt là yếu tố then chốt để bảo vệ hạ tầng doanh nghiệp trước các mối đe dọa mạng hiện nay.