SAP heeft in oktober 2026 een kritieke OAuth2 SSRF-kwetsbaarheid in de Cloud SDK voor Python gepatcht die kan leiden tot diefstal van credentials.
SAP heeft in de beveiligingsupdates van oktober 2026 twintig kwetsbaarheden in diverse producten verholpen, waaronder een kwetsbaarheid met maximale ernst in de Cloud SDK voor Python. Deze SDK is het officiële ontwikkelplatform voor AI-agents en Python-applicaties op de SAP Business Technology Platform (BTP) diensten. De kwetsbaarheid, geregistreerd als CVE-2026-89111, kan door externe aanvallers zonder privileges worden misbruikt om inloggegevens te stelen.
Volgens een advies van dinsdag betreft het een OAuth2 Server-Side Request Forgery (SSRF) kwetsbaarheid in de SAP Cloud SDK voor Python die multi-tenant BTP-applicaties treft. Aanvallers die de parameter tenant_subdomain beheersen, kunnen OAuth2-tokenverzoeken omleiden naar een door hen gecontroleerde server, waardoor client credentials worden buitgemaakt. Als tijdelijke maatregel kunnen klanten die de patches nog niet kunnen toepassen, het probleem beperken door tenant_subdomain te valideren aan de hand van een allowlist van geregistreerde subdomeinen voordat deze aan SDK-aanroepen worden doorgegeven.
Daarnaast heeft SAP ook andere kritieke kwetsbaarheden verholpen, zoals CVE-2026-89110, een gebroken toegangscontrole in SAP NetWeaver Visual Composer, waarmee aanvallers met beperkte rechten systemen volledig kunnen compromitteren. Een andere ernstige fout in SAP Manufacturing Integration and Intelligence stelt aanvallers met adminrechten in staat om via een Java-applicatie een account met verhoogde privileges aan te maken en zo volledige controle over het systeem te verkrijgen.
In de afgelopen maanden heeft SAP meerdere kwetsbaarheden met maximale ernst opgelost, waaronder CVE-2026-58231 in het Commerce Cloud platform en CVE-2026-44756, een geheugenbeschadigingsfout in de SAP Kernel, ook bekend als OVERPASS. Volgens schattingen van beveiligingsonderzoekers gebruiken meer dan 10.000 internet-blootgestelde SAP-systemen de kwetsbare componenten en lopen daardoor risico op aanvallen. De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft sinds november 2021 veertien SAP-kwetsbaarheden opgenomen in haar lijst van actief misbruikte kwetsbaarheden, waarvan drie werden ingezet bij ransomware-aanvallen.
