สรุปสั้น

บริษัท SAP ออกแพตช์แก้ช่องโหว่ที่ได้คะแนนความรุนแรงสูงสุดเท่าที่ระบบ CVSS จะให้ได้คือ 10.0 เต็มสิบ ในผลิตภัณฑ์ Commerce Cloud ส่วนประกอบ Data Hub Adapter ช่องโหว่นี้มีหมายเลข CVE-2026-58231 และถูกอธิบายว่าเป็นกรณีการตรวจสอบสิทธิ์ที่ไม่เพียงพอร่วมกับการตรวจสอบข้อมูลนำเข้าที่ไม่รัดกุม ผลที่ตามมาคือการรันโค้ดตามใจผู้โจมตีบนระบบ

รายละเอียดจาก CVE.org ระบุว่า SAP Commerce Cloud เปิดทางให้ผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตนใช้ไคลเอนต์สำหรับยืนยันตัวตนที่ติดตั้งมาเป็นค่าเริ่มต้น แล้วส่งข้อมูลนำเข้าที่สร้างขึ้นเป็นพิเศษไปยังฟังก์ชันบางตัวที่ขาดการตรวจสอบที่เพียงพอ การโจมตีที่สำเร็จจะเปิดทางให้รันโค้ดตามใจและเข้ายึดองค์ประกอบภายในของระบบ ส่งผลกระทบสูงทั้งต่อความลับ ความถูกต้อง และความพร้อมใช้งานของแอปพลิเคชัน ซึ่งเป็นเหตุผลที่คะแนนขึ้นไปถึงเพดาน

บริษัท Onapsis ซึ่งเป็นบริษัทความปลอดภัยเฉพาะทางด้าน SAP เร่งให้ลูกค้าอัปเดตไปยังเวอร์ชัน Commerce Cloud ที่แก้ไขแล้วและดีพลอยระบบใหม่ตามขั้นตอน โดยระหว่างที่ยังติดตั้งแพตช์ไม่ได้ สามารถลดความเสี่ยงชั่วคราวด้วยการตั้งค่า IP Filter Set เพื่อจำกัดการเข้าถึงเอนด์พอยต์ที่มีช่องโหว่ นอกจากตัวนี้แล้ว รอบแพตช์เดือนสิงหาคม 2569 ของ SAP ยังมีช่องโหว่ระดับวิกฤตอีกสามรายการที่ต้องจัดการควบคู่กันไป

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 12 สิงหาคม 2569 ว่า SAP ได้ปล่อยแพตช์แก้ช่องโหว่ระดับความรุนแรงสูงสุดที่กระทบผลิตภัณฑ์ Commerce Cloud ในส่วน Data Hub Adapter ซึ่งอาจนำไปสู่การรันโค้ดตามใจผู้โจมตี

ช่องโหว่ CVE-2026-58231 ได้คะแนน 10.0 บนมาตรวัด CVSS ซึ่งเป็นคะแนนสูงสุดที่เป็นไปได้ และในทางปฏิบัติหมายถึงช่องโหว่ที่โจมตีได้จากระยะไกลผ่านเครือข่าย ไม่ต้องมีสิทธิ์ใด ๆ ไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ และส่งผลกระทบเต็มขั้นทั้งสามด้าน ในกลุ่มผลิตภัณฑ์ระดับองค์กรที่มีการติดตั้งใช้งานจริงในระดับโลก ช่องโหว่ที่ได้คะแนนเต็มแบบนี้ปรากฏไม่บ่อยนัก

เว็บไซต์ Cloud Thunder เคยรายงานรอบแพตช์ของ SAP ในเดือนกรกฎาคมไว้ในโพสต์ 2026/07/145 ซึ่งตอนนั้นช่องโหว่เด่นอยู่ที่ NetWeaver ABAP ระดับ 9.9 ขณะที่รอบนี้ขยับขึ้นไปถึงเพดาน นอกจากนี้ในโพสต์ 2026/08/070 ที่รายงานรอบ Patch Tuesday ของ Microsoft ก็ได้กล่าวถึงช่องโหว่ระดับ 10.0 ใน SAP Commerce Cloud ไว้ในหัวข้อผู้ผลิตรายอื่นแล้ว ข่าวนี้จึงเป็นการลงรายละเอียดของช่องโหว่ตัวเดียวกันนั้น

Onapsis ให้คำแนะนำที่ตรงไปตรงมาว่าลูกค้าต้องอัปเดตไปยังเวอร์ชัน Commerce Cloud ที่แก้ไขแล้ว จากนั้นต้องดีพลอยเวอร์ชันที่อัปเดตแล้วซ้ำอีกครั้ง ซึ่งเป็นรายละเอียดสำคัญ เพราะสำหรับระบบที่ทำงานแบบต่อเนื่อง การติดตั้งแพตช์อย่างเดียวโดยไม่ดีพลอยใหม่อาจทำให้โค้ดที่รันอยู่จริงยังเป็นเวอร์ชันเดิม ส่วนมาตรการชั่วคราวที่แนะนำคือการตั้ง IP Filter Set เพื่อจำกัดว่าใครเข้าถึงเอนด์พอยต์ที่มีช่องโหว่ได้บ้าง

รายละเอียดช่องโหว่

นอกเหนือจาก CVE-2026-58231 แล้ว รอบอัปเดตเดือนสิงหาคม 2569 ของ SAP ยังปิดช่องโหว่ระดับวิกฤตอีกสามรายการ

รายการแรกคือ CVE-2026-44772 คะแนน CVSS 9.9 ช่องโหว่ code injection ใน Manufacturing Integration and Intelligence โดย Onapsis อธิบายเพิ่มเติมว่าเป็นเซิร์ฟเล็ตที่มีช่องโหว่ ซึ่งเปิดทางให้ผู้โจมตีที่มีสิทธิ์ระดับต่ำส่งข้อมูลนำเข้าที่สร้างขึ้นเป็นพิเศษ ทำให้แอปพลิเคชันไปดึงและประมวลผลเนื้อหาจากแหล่งภายนอกที่ผู้โจมตีควบคุมได้ และจบลงที่การรันคำสั่งตามใจบนเครื่องที่ติดตั้งระบบอยู่

รายการที่สองคือ CVE-2026-34265 คะแนน CVSS 9.8 ช่องโหว่ประเภทเขียนข้อมูลออกนอกขอบเขตหน่วยความจำใน Application Server ABAP สำหรับ SAP NetWeaver และ ABAP Platform ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถอาศัยข้อผิดพลาดเชิงตรรกะในการแปลความโปรโตคอล DIAG จนเกิดความเสียหายของหน่วยความจำ ผลที่ได้อาจเป็นการเปิดเผยข้อมูลสำคัญของระบบหรือทำให้ระบบล่ม

รายการที่สามคือ CVE-2026-44758 คะแนน CVSS 9.1 ช่องโหว่ code injection ใน Manufacturing Integration and Intelligence เช่นกัน แต่ต้องอาศัยผู้โจมตีที่มีสิทธิ์สูงอยู่แล้วในการรันคำสั่งตามใจบนระบบปฏิบัติการเบื้องล่าง โดย Onapsis ระบุว่าตัวนี้เกิดจากองค์ประกอบเซิร์ฟเล็ตที่เปิดช่องให้เกิดทั้ง server-side template injection หรือ SSTI และ server-side request forgery หรือ SSRF ซึ่งเปิดทางไปสู่การรันคำสั่งได้ และแพตช์ที่ SAP ปล่อยออกมาแก้ด้วยการถอดองค์ประกอบเซิร์ฟเล็ตที่มีช่องโหว่ออกไปเลย

จุดที่ผู้ดูแลระบบต้องอ่านให้ละเอียดคือเงื่อนไขหลังติดตั้งแพตช์ Onapsis ระบุว่า “หลังจากติดตั้งแพตช์แล้ว ลูกค้าต้องกำหนดค่า system property ตัวใหม่ชื่อ Secure Transformer พร้อมรายการโฮสต์ที่อนุญาตสำหรับโฮสต์ไฟล์ XSL เฉพาะไฟล์ XSL จากโฮสต์เหล่านี้เท่านั้นที่เซิร์ฟเล็ตซึ่งมีช่องโหว่จะรับมาประมวลผลได้” กล่าวคือแพตช์ตัวนี้ไม่ได้ปิดช่องให้เองโดยอัตโนมัติ แต่มอบกลไก allowlist มาให้ ถ้าไม่ตั้งค่าต่อ ก็เท่ากับติดตั้งแพตช์แล้วแต่ยังไม่ได้ปิดช่องจริง

อัปเดต 15 ส.ค. 69 — เริ่มมีการโจมตีจริงแล้ว ทั้งที่ยังไม่มีโค้ดสาธิตสาธารณะ

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 15 สิงหาคม 2569 ว่า ผู้ก่อภัยคุกคามเริ่มหยั่งเชิงและพยายามใช้ประโยชน์จากช่องโหว่ CVE-2026-58231 แล้ว หลังจาก SAP ปล่อยแพตช์อย่างเป็นทางการไปเพียงสามวัน โดยเทเลเมทรีจากระบบ honeypot ของบริษัท Defused จับทราฟฟิกการรันโค้ดจากระยะไกลแบบไม่ต้องยืนยันตัวตนระลอกแรกที่วิ่งอยู่บนอินเทอร์เน็ตได้ ทั้งที่ยังไม่มีโค้ดสาธิตการโจมตีหรือ proof of concept เผยแพร่สู่สาธารณะเลยแม้แต่ชิ้นเดียว

เซ็นเซอร์ของ Defused สังเกตพบความพยายามโจมตีครั้งแรกพุ่งเป้าไปยังเอนด์พอยต์ของแอปพลิเคชันที่เปิดออกสู่ภายนอกบนพอร์ตเว็บมาตรฐาน 443 โดยล็อกกิจกรรมเผยว่าทราฟฟิกโจมตีขาเข้ามีต้นทางจากโครงสร้างพื้นฐานโฮสติงที่ผูกกับ Charlotte Colocation Center หมายเลข AS11402 ในสหรัฐอเมริกา และมาจากที่อยู่ไอพี 216.249.99[.]43 เป็นการเฉพาะ ขณะที่เครื่องมือวิเคราะห์ข่าวกรองภัยคุกคามจัดประเภทการยิงชุดแรกนี้ว่าเป็นการสแกนเป็นวงกว้างแบบอัตโนมัติ ซึ่งบ่งชี้ว่าผู้โจมตีที่ฉวยโอกาสกำลังไล่สแกนระบบ SAP ที่เปิดออกสู่อินเทอร์เน็ตอย่างเป็นระบบเพื่อค้นหาการติดตั้งที่ยังมีช่องโหว่

จุดที่ควรให้น้ำหนักคือการที่การโจมตีจริงปรากฏขึ้นอย่างรวดเร็วโดยไม่มีโค้ดสาธิตสาธารณะ ซึ่งบ่งชี้ว่าผู้โจมตีน่าจะย้อนวิศวกรรมแพตช์ของผู้ผลิตทันทีที่แพตช์ถูกปล่อยออกมา รูปแบบนี้ทำให้สมมติฐานที่หลายองค์กรใช้อยู่ว่า “ยังไม่มี PoC ก็ยังพอมีเวลา” ใช้ไม่ได้อีกต่อไป โดยเฉพาะกับองค์กรที่ใช้ระบบ SAP ซับซ้อน ซึ่งมักมีรอบทดสอบแพตช์ยาวนาน และช่องว่างเวลานั้นเองคือหน้าต่างโอกาสที่ผู้โจมตีฉวยโอกาสและผู้ปฏิบัติการแรนซัมแวร์รอคอย

ทั้งนี้ ต้องระบุข้อจำกัดไว้ด้วยว่ารายงานฉบับนี้ไม่ได้ยืนยันว่ามีองค์กรใดถูกเจาะสำเร็จแล้ว ไม่ได้ระบุเพย์โหลดหรือเครื่องมือที่ผู้โจมตีใช้ต่อหลังเข้าถึงได้ และให้ตัวชี้วัดมาเพียงไอพีต้นทางรายการเดียวเท่านั้น

ผลกระทบ

SAP Commerce Cloud คือแพลตฟอร์มอีคอมเมิร์ซระดับองค์กรที่ธุรกิจค้าปลีก ผู้ผลิต และผู้จัดจำหน่ายใช้เป็นหน้าร้านออนไลน์และช่องทางขายแบบ B2B ระบบเหล่านี้เชื่อมต่อกับข้อมูลลูกค้า คำสั่งซื้อ ราคา และสต็อกสินค้า ส่วน Data Hub Adapter ทำหน้าที่รับส่งข้อมูลระหว่างแพลตฟอร์มกับระบบหลังบ้านอื่น ๆ ในเครือ SAP การที่ผู้โจมตีรันโค้ดได้ที่จุดนี้จึงไม่ได้จบแค่หน้าเว็บล่ม แต่หมายถึงการเข้าถึงเส้นทางลำเลียงข้อมูลระหว่างระบบธุรกิจ

ปัจจัยที่ทำให้เรื่องนี้เร่งด่วนกว่าปกติคือคำว่า “ไคลเอนต์ยืนยันตัวตนที่เป็นค่าเริ่มต้น” ในคำอธิบายช่องโหว่ ซึ่งบ่งชี้ว่าเงื่อนไขการโจมตีไม่ได้ขึ้นกับความผิดพลาดในการตั้งค่าของแต่ละองค์กร แต่เป็นสิ่งที่ติดมากับระบบตั้งแต่ต้น องค์กรที่ไม่เคยแตะการตั้งค่าส่วนนี้จึงไม่ได้ปลอดภัยกว่าองค์กรอื่น และช่องโหว่ประเภทนี้มักถูกทำเป็นเครื่องมือโจมตีอัตโนมัติได้เร็ว เพราะไม่ต้องปรับแต่งตามเป้าหมายแต่ละราย

ในภาพกว้าง กลุ่มผลิตภัณฑ์ ERP และระบบธุรกิจหลักกลายเป็นเป้าหมายที่ผู้โจมตีให้ความสนใจมากขึ้นเรื่อย ๆ เพราะเป็นระบบที่หยุดไม่ได้ อัปเดตยาก และมักถูกยกเว้นจากรอบแพตช์ปกติด้วยเหตุผลด้านความต่อเนื่องทางธุรกิจ ช่องว่างระหว่างวันที่แพตช์ออกกับวันที่องค์กรติดตั้งจริงจึงมักยาวเป็นเดือน ซึ่งเป็นหน้าต่างเวลาที่ผู้โจมตีรู้ดีและใช้ประโยชน์มาแล้วหลายครั้ง

คำแนะนำ

  • สำรวจว่าองค์กรใช้ SAP Commerce Cloud และเปิดใช้ Data Hub Adapter อยู่หรือไม่ แล้วอัปเดตไปยังเวอร์ชันที่แก้ไขแล้วตามที่ระบุใน SAP Security Patch Day ประจำเดือนสิงหาคม 2569
  • อย่าลืมดีพลอยระบบใหม่หลังอัปเดตตามคำแนะนำของ Onapsis เพราะการติดตั้งแพตช์อย่างเดียวอาจไม่ทำให้โค้ดที่รันอยู่จริงเปลี่ยนเป็นเวอร์ชันที่แก้ไขแล้ว
  • ระหว่างที่ยังปิดระบบเพื่ออัปเดตไม่ได้ ให้ตั้ง IP Filter Set จำกัดการเข้าถึงเอนด์พอยต์ที่มีช่องโหว่เป็นมาตรการชั่วคราว
  • สำหรับ CVE-2026-44758 ต้องกำหนดค่า system property ชื่อ Secure Transformer พร้อมรายการโฮสต์ที่อนุญาตสำหรับไฟล์ XSL หลังติดตั้งแพตช์ มิฉะนั้นช่องโหว่จะยังไม่ถูกปิดจริง
  • ตรวจสอบว่า Manufacturing Integration and Intelligence และ Application Server ABAP ในองค์กรอยู่ในเวอร์ชันที่ได้รับผลกระทบหรือไม่ และจัดลำดับแพตช์ตามระดับการเข้าถึงจากภายนอก
  • ตรวจว่าเอนด์พอยต์ของระบบ SAP เปิดออกสู่อินเทอร์เน็ตโดยไม่จำเป็นหรือไม่ ระบบที่ควรใช้งานจากวงภายในเท่านั้นไม่ควรเข้าถึงได้จากภายนอก
  • เก็บและตรวจสอบล็อกการเรียกใช้เอนด์พอยต์ของ Data Hub Adapter ย้อนหลัง โดยเฉพาะคำขอจากแหล่งที่ไม่คุ้นเคยหรือคำขอที่มีข้อมูลนำเข้าผิดรูปแบบ
  • (เพิ่มเติมหลังพบการโจมตีจริง) ตรวจล็อกของเว็บเซิร์ฟเวอร์ขาเข้าและ web application firewall เพื่อหาคำขอแบบ POST ที่ผิดปกติซึ่งมุ่งไปยังบริการสำหรับผู้ดูแลระบบจากโฮสต์ภายนอก และบล็อกไอพีต้นทางที่ระบุไว้ในตาราง IoCs
  • (เพิ่มเติมหลังพบการโจมตีจริง) องค์กรที่ยังติดตั้งอัปเดตไม่ได้ทันที ควรย้ายหน้าจัดการที่เปิดออกสู่ภายนอกไปอยู่หลัง VPN และบังคับใช้ access control list ที่เข้มงวดเพื่อลดพื้นที่การโจมตี

Indicators of Compromise (IoCs)

หมายเหตุ: indicator ด้านล่างถูก defang ไว้แล้ว ก่อนนำไปใช้ต้องแปลงกลับเป็นรูปแบบปกติ

Indicatorประเภทคำอธิบาย
216.249.99[.]43IPต้นทางความพยายามโจมตี CVE-2026-58231 ระลอกแรกที่เซ็นเซอร์ของ Defused บันทึกได้ ผูกกับ Charlotte Colocation Center (AS11402) สหรัฐอเมริกา

แหล่งอ้างอิง