สรุปสั้น
บริษัท SAP ผู้พัฒนาซอฟต์แวร์บริหารทรัพยากรองค์กร (ERP) รายใหญ่ ออกอัปเดตความปลอดภัยประจำเดือนกรกฎาคม 2569 เพื่ออุดช่องโหว่หลายรายการ โดยรายการที่ร้ายแรงที่สุดคือ CVE-2026-44747 ซึ่งมีคะแนนความรุนแรง CVSS สูงถึง 9.9 อยู่ในผลิตภัณฑ์ SAP NetWeaver Application Server ABAP ช่องโหว่นี้เป็นชนิดเขียนข้อมูลเกินขอบเขตหน่วยความจำ (Out-of-bounds Write) ที่เปิดให้ผู้โจมตีซึ่งยืนยันตัวตนในระบบแล้วอาศัยข้อผิดพลาดเชิงตรรกะในการจัดการหน่วยความจำ ก่อให้เกิดความเสียหายของหน่วยความจำ (Memory Corruption) จนนำไปสู่การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต การแก้ไขข้อมูล หรือทำให้ระบบไม่สามารถใช้งานได้
เนื่องจาก NetWeaver ABAP เป็นแกนกลางของระบบธุรกิจจำนวนมากทั่วโลก ช่องโหว่ระดับนี้จึงถือว่าอันตรายอย่างยิ่ง แม้ปัจจุบันจะยังไม่มีหลักฐานว่าถูกใช้โจมตีจริง แต่ SAP และบริษัทความปลอดภัย Onapsis ต่างแนะนำให้ลูกค้ารีบติดตั้งแพตช์โดยเร็ว โดยการอุดช่องโหว่ที่ถูกต้องคือการติดตั้ง ABAP Kernel เวอร์ชันที่แก้ไขแล้ว ส่วนวิธีแก้ชั่วคราวที่ SAP เสนอคือปิดโหนด ICF ทั้งหมดที่มีคุณสมบัติเฉพาะในทรานแซกชัน SICF แต่วิธีนี้จะทำให้ไม่สามารถเปิดทรานแซกชันผ่าน SAP GUI for HTML ได้ จึงไม่ใช่ทางเลือกที่ใช้ได้กับลูกค้าทุกราย
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 14 กรกฎาคม 2569 ว่า SAP ได้ปล่อยชุดอัปเดตความปลอดภัยประจำเดือน แก้ไขช่องโหว่หลายรายการ โดยนอกจาก CVE-2026-44747 ที่ร้ายแรงที่สุดแล้ว ยังมีช่องโหว่ระดับวิกฤตอีก 2 รายการที่ต้องให้ความสำคัญ รายการแรกคือ CVE-2026-27690 (CVSS 9.1) เป็นช่องโหว่ HTTP Request/Response Smuggling ในการติดตั้ง SAP Approuter บนสภาพแวดล้อมที่ไม่ใช่ Cloud Foundry ซึ่งเปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนส่งคำขอ HTTP ที่ประดิษฐ์ขึ้นเป็นพิเศษ ทำให้เกิดการไม่ซิงค์กันระหว่างคำขอกับคำตอบ ส่งผลให้ข้อมูลการตอบกลับของผู้ใช้รายอื่นรั่วไหล และก่อให้เกิดการโจมตีปฏิเสธการให้บริการ (DoS)
ช่องโหว่ที่สองคือ CVE-2026-44761 (CVSS 9.1) เป็นการใช้ข้อมูลรับรองแบบตั้งต้น (Default Credentials) ใน SAP Commerce Cloud ที่อาจหลงเหลือไคลเอนต์ OAuth 2.0 ตัวอย่างซึ่งมีข้อมูลรับรองที่เผยแพร่เป็นสาธารณะ โดยมีต้นตอมาจากไฟล์ตั้งค่าตัวอย่างที่เคยให้ไว้ในเอกสาร SAP Help Portal บริษัท Onapsis อธิบายว่าสคริปต์ตั้งค่าตัวอย่างเหล่านี้เดิมมีไว้สำหรับการพัฒนาและทดสอบ แต่กลับตั้งค่าไคลเอนต์ OAuth 2.0 ด้วยข้อมูลรับรองแบบฮาร์ดโค้ดที่รู้กันทั่วไป
Onapsis เตือนว่าเอกสารเวอร์ชันเก่าไม่ได้ระบุเตือนลูกค้าอย่างชัดเจนว่าห้ามนำค่าตั้งต้นเหล่านี้ไปใช้ในระบบใช้งานจริง (Production) หากปล่อยไว้โดยไม่แก้ไข ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถใช้ข้อมูลรับรองตั้งต้นที่เปิดเผยสาธารณะเหล่านี้เพื่อขอโทเคนการเข้าถึง (Access Token) ที่ถูกต้อง แล้วเรียกใช้ API บางตัวเพื่ออ่านและเปลี่ยนแปลงข้อมูลระบบได้ อย่างไรก็ตามลูกค้าที่ลบไคลเอนต์ตัวอย่างออกไปแล้ว หรือเปลี่ยนค่าลับ (Secret) เป็นค่าที่แข็งแรงและไม่ซ้ำใครแล้ว จะไม่ได้รับผลกระทบจากช่องโหว่นี้ SAP แนะนำให้ลูกค้าตรวจสอบสภาพแวดล้อม Production ว่ามีไคลเอนต์ OAuth 2.0 ตัวอย่างที่ได้รับผลกระทบหลงเหลืออยู่หรือไม่ หากพบต้องลบออกทันที
รายละเอียดช่องโหว่
จุดที่ทำให้ CVE-2026-44747 อันตรายเป็นพิเศษคือการที่ช่องโหว่อยู่ในชั้น ABAP Kernel ซึ่งเป็นแกนประมวลผลของ NetWeaver Application Server แม้ผู้โจมตีจะต้องมีสิทธิ์ยืนยันตัวตนในระบบก่อน แต่เมื่อใช้ประโยชน์จากข้อผิดพลาดในการจัดการหน่วยความจำได้สำเร็จ ก็สามารถทำให้หน่วยความจำเสียหายในลักษณะที่ควบคุมได้ ซึ่งเปิดทางไปสู่การเข้าถึงข้อมูล การแก้ไขข้อมูล หรือการทำให้ระบบล่ม การให้คะแนน CVSS สูงถึง 9.9 สะท้อนว่าผลกระทบครอบคลุมทั้งด้านความลับ ความถูกต้อง และความพร้อมใช้งานของระบบ
ในทางตรงข้าม CVE-2026-27690 ที่เป็น HTTP Request/Response Smuggling อันตรายตรงที่ไม่ต้องยืนยันตัวตนก็โจมตีได้ ผู้โจมตีเพียงส่งคำขอ HTTP ที่ออกแบบมาเป็นพิเศษไปยัง Approuter ที่ตั้งค่าไม่รัดกุมบนสภาพแวดล้อมที่ไม่ใช่ Cloud Foundry ก็ทำให้เกิดการสับสนระหว่างขอบเขตของคำขอ ทำให้ดักหรือปนเปื้อนคำตอบที่ควรส่งถึงผู้ใช้รายอื่นได้ ส่วน CVE-2026-44761 เป็นบทเรียนคลาสสิกของการนำค่าตัวอย่างในเอกสารไปใช้จริงโดยไม่เปลี่ยนค่าลับ ทำให้ผู้โจมตีที่รู้ข้อมูลรับรองที่เผยแพร่สาธารณะเข้ายึด API ได้โดยไม่ต้องเจาะรหัสผ่านใด ๆ
ผลกระทบต่อไทย
SAP เป็นระบบ ERP ที่องค์กรขนาดใหญ่ในไทยใช้งานอย่างแพร่หลาย ทั้งภาคธนาคาร บริษัทพลังงาน ภาคการผลิต ค้าปลีก และรัฐวิสาหกิจ ระบบเหล่านี้มักเก็บข้อมูลธุรกิจที่อ่อนไหวที่สุดขององค์กร ทั้งข้อมูลการเงิน ห่วงโซ่อุปทาน (Supply Chain) และข้อมูลพนักงาน การที่ NetWeaver ABAP มีช่องโหว่ระดับ CVSS 9.9 จึงเป็นความเสี่ยงที่องค์กรไทยประเมินต่ำไม่ได้ โดยเฉพาะระบบ SAP ที่เปิดให้เข้าถึงจากภายนอกหรือเชื่อมต่อกับพันธมิตรทางธุรกิจ ยิ่งไปกว่านั้นช่องโหว่ Default Credentials ใน Commerce Cloud ยังเป็นเครื่องเตือนใจว่าทีมที่ติดตั้งระบบตามเอกสารตัวอย่างโดยไม่เปลี่ยนค่าลับ อาจเปิดประตูให้ผู้โจมตีเข้ามาโดยไม่รู้ตัว องค์กรไทยที่ใช้ SAP จึงควรเร่งตรวจสอบเวอร์ชันและการตั้งค่าของระบบตนเองทันที
คำแนะนำ
ผู้ดูแลระบบ SAP ควรติดตั้งแพตช์ประจำเดือนกรกฎาคม 2569 โดยเร็ว โดยเฉพาะการอัปเดต ABAP Kernel เป็นเวอร์ชันที่แก้ไข CVE-2026-44747 แล้ว ซึ่งเป็นวิธีอุดช่องโหว่ที่ถูกต้องกว่าการใช้วิธีแก้ชั่วคราวด้วยการปิดโหนด ICF ที่อาจกระทบการใช้งานผ่าน SAP GUI for HTML สำหรับ SAP Commerce Cloud ควรตรวจสอบสภาพแวดล้อม Production ว่ามีไคลเอนต์ OAuth 2.0 ตัวอย่างที่มาจากสคริปต์ตั้งค่าตัวอย่างหลงเหลืออยู่หรือไม่ หากพบให้ลบออกหรือเปลี่ยนค่าลับเป็นค่าที่แข็งแรงและไม่ซ้ำใครทันที ส่วน Approuter ที่ทำงานนอก Cloud Foundry ควรได้รับการอัปเดตเพื่อป้องกัน CVE-2026-27690 นอกจากนี้ควรจำกัดการเข้าถึงระบบ SAP จากอินเทอร์เน็ตเท่าที่จำเป็น และเฝ้าระวังพฤติกรรมการเข้าถึง API หรือทรานแซกชันที่ผิดปกติ