สรุปสั้น

บริษัท SAP ปล่อยประกาศความปลอดภัยทั้งฉบับใหม่และฉบับปรับปรุงรวม 20 ฉบับในวันอังคารที่ผ่านมา โดยฉบับที่สำคัญที่สุดปิดช่องโหว่หน่วยความจำเสียหายระดับวิกฤต ซึ่งถูกติดตามในหมายเลข CVE-2026-44756 และได้คะแนน CVSS เต็ม 10.0 ปัญหาอยู่ในการประมวลผล Extended Passport หรือ EPP ซึ่งเป็นกลไกที่ใช้ติดตามการทำงานภายในแอปพลิเคชันของ SAP หลายตัว บริษัทด้านความปลอดภัยของแอปพลิเคชัน Onapsis ตั้งชื่อช่องโหว่นี้ว่า OVERPASS และอธิบายว่าต้นเหตุคือการขาดการตรวจสอบขอบเขตระหว่างการแปลงข้อมูล EPP กลับเป็นวัตถุ ทำให้เกิดพฤติกรรมหน่วยความจำที่ไม่ปลอดภัยเมื่อประมวลผลฟิลด์ความยาวที่รับมาจากภายนอก

สิ่งที่ผู้โจมตีทำได้เมื่อใช้ช่องโหว่นี้สำเร็จครอบคลุมเกือบทุกอย่างที่ระบบหนึ่งจะเสียได้ ทั้งการรันคำสั่งระบบตามอำเภอใจ การกู้ข้อมูลยืนยันตัวตนของฐานข้อมูลและค่าแฮชของรหัสผ่าน การอ่านเซสชันที่กำลังทำงานอยู่ของผู้ใช้ที่ล็อกอินแล้ว และการแก้ไขข้อมูลซึ่งรวมถึงการตั้งค่าและตัวไบนารีของ SAP เอง ทั้งหมดนี้ทำได้โดยไม่ต้องยืนยันตัวตนใด ๆ ก่อน

จุดที่ทำให้ช่องโหว่นี้อันตรายกว่าคะแนนที่ปรากฏคือตำแหน่งที่มันทำงาน Onapsis ระบุว่าช่องโหว่ถูกกระตุ้นทันทีที่มีการเปิดเซสชันใหม่จากไคลเอนต์ไปยังเซิร์ฟเวอร์ ผ่านโปรโตคอลการสื่อสารได้หลายแบบ และฟังก์ชันที่มีปัญหาเปิดใช้งานเป็นค่าเริ่มต้นระหว่างระบบ ABAP ด้วยกัน นอกจากนี้ช่องโหว่ยังอยู่ในโค้ดเคอร์เนลของ SAP จึงกระทบผลิตภัณฑ์จำนวนมากพร้อมกัน ตั้งแต่ S/4HANA, ERP, Business Suite (ECC), NetWeaver, Web Dispatcher ไปจนถึง BW/4HANA, Enterprise Portal, PI/PO และ Solution Manager

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 8 กันยายน 2569 ว่า SAP ได้ปล่อยประกาศความปลอดภัยประจำเดือนกันยายนรวม 20 ฉบับ โดยฉบับที่ได้รับความสนใจมากที่สุดคือฉบับที่แก้ CVE-2026-44756 ช่องโหว่หน่วยความจำเสียหายในการประมวลผล Extended Passport

Onapsis อธิบายรายละเอียดของต้นเหตุไว้ว่า การขาดการตรวจสอบขอบเขตระหว่างการแปลงข้อมูล EPP กลับเป็นวัตถุ ทำให้เกิดพฤติกรรมหน่วยความจำที่ไม่ปลอดภัยขณะประมวลผลฟิลด์ความยาวที่ผู้ส่งเป็นผู้กำหนดจากภายนอก ซึ่งเป็นรูปแบบปัญหาคลาสสิกของการแปลงข้อมูลที่ไว้ใจค่าที่รับเข้ามาโดยไม่ตรวจสอบ

Onapsis ยังชี้ว่าช่องโหว่เข้าถึงได้ผ่านช่องทางอย่างน้อยสามทาง คือคำร้องผ่านเว็บ โปรโตคอลของ SAP GUI และการเชื่อมต่อแบบ Remote Function Call (RFC) ซึ่งครอบคลุมทั้งเส้นทางที่เปิดสู่ภายนอกและเส้นทางที่ระบบภายในใช้คุยกันเอง

ผลกระทบเชิงสิทธิ์เป็นอีกจุดที่ Onapsis เน้นไว้ โดยระบุว่า “คอมโพเนนต์ที่ได้รับผลกระทบทำงานภายใต้บัญชีของระบบปฏิบัติการที่เป็นเจ้าของการติดตั้ง SAP ดังนั้นการรันโค้ดภายใต้บัญชีนั้นจึงเทียบเท่ากับการเป็นเจ้าของระบบ SAP ทั้งระบบโดยสมบูรณ์” กล่าวคือไม่จำเป็นต้องยกระดับสิทธิ์เพิ่มอีกขั้นหลังจากรันโค้ดได้แล้ว

ในแง่การถูกโจมตีจริง Onapsis ระบุว่ายังไม่มีสัญญาณว่าช่องโหว่นี้ถูกใช้โจมตีในธรรมชาติ และ SAP เองก็ไม่ได้กล่าวถึงการถูกใช้โจมตีจริงเช่นกัน ซึ่งเป็นสถานะที่ควรระบุไว้ตามตรง แต่ไม่ควรตีความว่าเป็นเหตุผลให้ชะลอการแพตช์ เพราะเมื่อรายละเอียดของช่องโหว่ระดับ 10.0 ถูกเผยแพร่แล้ว ระยะเวลาที่ผู้โจมตีต้องใช้ในการสร้างโค้ดโจมตีมักสั้นกว่ารอบการแพตช์ขององค์กรขนาดใหญ่

รอบแพตช์เดือนนี้ยังปิดช่องโหว่ระดับวิกฤตอีกสามตัว ได้แก่ CVE-2026-58240 ซึ่งเป็นการขาดการตรวจสอบการยืนยันตัวตนใน NetWeaver, CVE-2026-76969 การเปิดเผยข้อมูลยืนยันตัวตนในแอปพลิเคชันแบบหลายผู้เช่าที่ใช้ Cloud Application Programming Model (CAP) และ CVE-2026-66768 การควบคุมการเข้าถึงที่ไม่เหมาะสมใน NetWeaver โดยตัวที่เกี่ยวกับการขาดการตรวจสอบการยืนยันตัวตนถูกตั้งชื่อว่า S4GET ซึ่งเปิดให้ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนลงทะเบียนคอมโพเนนต์ที่ไม่ได้รับอนุญาตและดำเนินการโดยไม่มีสิทธิ์ได้ ช่องโหว่ตัวนี้อยู่ในเคอร์เนลรุ่นใหม่ของ SAP และ Onapsis ระบุว่ากระทบ S/4HANA 2025 ทุกรุ่นและรุ่นก่อนหน้าทั้งหมด นอกจากนี้ยังมีประกาศอีกห้าฉบับที่แก้ช่องโหว่ระดับความรุนแรงสูงใน ABAP Developer Tools, Integration Suite, NetWeaver Business Client, NetWeaver และ Commerce Cloud ส่วน Search And Navigation

เมื่อมองย้อนกลับไป นี่เป็นช่องโหว่ระดับ 10.0 ตัวที่สองของ SAP ในรอบไม่ถึงเดือน หลังจากที่เราเคยรายงานกรณี SAP Commerce Cloud ที่ได้คะแนนเต็มเช่นกันไว้ในโพสต์ 2026/08/076 และก่อนหน้านั้นคือ NetWeaver ABAP ที่คะแนน 9.9 ในโพสต์ 2026/07/145

รายละเอียดช่องโหว่

Extended Passport เป็นกลไกภายในของ SAP ที่ใช้แนบข้อมูลสำหรับติดตามการทำงานไปกับคำร้อง เพื่อให้ผู้ดูแลไล่ดูได้ว่าคำร้องหนึ่งเดินทางผ่านคอมโพเนนต์ใดบ้างในระบบที่ประกอบด้วยหลายส่วน ลักษณะของมันจึงเป็นข้อมูลที่มาพร้อมคำร้องตั้งแต่ต้นและถูกอ่านก่อนที่ระบบจะเริ่มพิจารณาว่าผู้ส่งเป็นใคร

ตรงนี้เองคือแก่นของปัญหา Onapsis อธิบายไว้ว่า “เนื่องจาก EPP ถูกประมวลผลตั้งแต่ตอนเปิดเซสชัน กลไกควบคุมทุกอย่างของ SAP ที่ตัดสินว่าใครทำอะไรได้ ทั้งการล็อกบัญชีผู้ใช้ บทบาท อ็อบเจกต์การให้สิทธิ์ และนโยบายการล็อกอิน ล้วนถูกประเมินหลังจุดที่ช่องโหว่ถูกเข้าถึงไปแล้ว ไม่มีกลไกใดขวางทางผู้โจมตีเลย” กล่าวอีกอย่างคือมาตรการควบคุมสิทธิ์ที่องค์กรลงทุนออกแบบไว้อย่างละเอียดไม่มีผลใด ๆ กับช่องโหว่ตัวนี้ เพราะมันทำงานก่อนหน้านั้นทั้งหมด

ผลของการที่ช่องโหว่อยู่ในโค้ดเคอร์เนลคือขอบเขตที่กว้างผิดปกติ EPP ถูกใช้สำหรับการติดตามภายในแอปพลิเคชันหลายตัวของ SAP โค้ดชุดเดียวกันจึงปรากฏอยู่ในผลิตภัณฑ์ที่ดูเหมือนไม่เกี่ยวกัน ทั้ง S/4HANA, ERP, Business Suite (ECC), NetWeaver, Web Dispatcher, BW/4HANA, Enterprise Portal, PI/PO และ Solution Manager องค์กรที่รัน SAP หลายระบบจึงต้องถือว่าทุกระบบที่ใช้เคอร์เนลรุ่นที่มีปัญหาอยู่ในขอบเขตทั้งหมด ไม่ใช่เฉพาะระบบที่เปิดสู่อินเทอร์เน็ต

อีกจุดที่ขยายความเสี่ยงคือฟังก์ชันที่มีช่องโหว่ถูกเปิดใช้งานเป็นค่าเริ่มต้นระหว่างระบบ ABAP ด้วยกัน หมายความว่าเส้นทางการโจมตีไม่ได้จำกัดอยู่ที่ผู้โจมตีภายนอกที่ยิงเข้ามาที่หน้าเว็บเท่านั้น แต่รวมถึงเส้นทางที่ระบบภายในองค์กรใช้คุยกันเองด้วย ผู้โจมตีที่ตั้งหลักได้ในระบบ SAP หนึ่งตัวจึงเคลื่อนต่อไปยังระบบอื่นในภูมิทัศน์เดียวกันได้ผ่านช่องทางที่ถูกออกแบบให้เชื่อถือกันอยู่แล้ว

ข้อจำกัดของข้อมูลที่ควรระบุไว้คือ รายละเอียดทางเทคนิคทั้งหมดมาจากคำอธิบายของ Onapsis ในฐานะผู้ค้นพบ ยังไม่มีโค้ดสาธิตการโจมตีเผยแพร่ต่อสาธารณะ ยังไม่มีตัวบ่งชี้การถูกเจาะให้ตรวจย้อนหลัง และทั้ง SAP และ Onapsis ต่างไม่ได้ระบุว่าพบการใช้ช่องโหว่นี้ในการโจมตีจริง

ผลกระทบ

กลุ่มที่ได้รับผลกระทบคือองค์กรขนาดใหญ่แทบทุกแห่งที่ใช้ SAP เป็นระบบหลังบ้าน ซึ่งโดยธรรมชาติของระบบประเภทนี้คือที่เก็บข้อมูลทางการเงิน ข้อมูลพนักงาน ข้อมูลคู่ค้า และกระบวนการทางธุรกิจที่ทั้งองค์กรพึ่งพา การที่ผู้โจมตีรันคำสั่งได้ด้วยบัญชีเจ้าของการติดตั้งจึงไม่ใช่แค่การเข้าถึงข้อมูล แต่คือการควบคุมระบบที่กระบวนการทางธุรกิจทั้งหมดวางอยู่บนนั้น

สิ่งที่ทำให้การประเมินความเสี่ยงยากกว่าปกติคือการที่มาตรการควบคุมภายในของ SAP เองไม่ช่วยอะไรเลย องค์กรที่ลงทุนกับการออกแบบบทบาทและอ็อบเจกต์การให้สิทธิ์อย่างละเอียด รวมถึงองค์กรที่ผ่านการตรวจสอบด้านการแบ่งแยกหน้าที่มาแล้ว ก็ไม่ได้รับการป้องกันเพิ่มขึ้นแม้แต่น้อยจากช่องโหว่ตัวนี้ เพราะจุดที่ถูกโจมตีอยู่ก่อนหน้าชั้นเหล่านั้นทั้งหมด

ในทางปฏิบัติ ความยากอยู่ที่การแพตช์เคอร์เนลของ SAP ไม่ใช่งานที่ทำได้ในชั่วข้ามคืน ระบบ SAP ในองค์กรขนาดใหญ่มักมีสภาพแวดล้อมหลายชั้นที่ต้องทดสอบตามลำดับ มีหน้าต่างเวลาสำหรับหยุดระบบที่จำกัด และมีการเชื่อมต่อกับระบบอื่นจำนวนมากที่ต้องยืนยันว่าไม่พังหลังอัปเดต ช่องว่างระหว่างวันที่แพตช์ออกกับวันที่ระบบทุกตัวได้รับแพตช์จริงจึงมักยาวเป็นสัปดาห์หรือเป็นเดือน ซึ่งเป็นช่วงเวลาที่ต้องมีมาตรการชดเชยรองรับ

ประเด็นที่ควรจับตาต่อคือรูปแบบที่เกิดซ้ำ นี่เป็นช่องโหว่ระดับคะแนนเต็มตัวที่สองของ SAP ในรอบเดือนเดียว องค์กรที่รอให้มีรายงานการโจมตีจริงก่อนจึงเริ่มดำเนินการจะพบว่าเวลาที่มีให้เตรียมตัวนั้นสั้นลงเรื่อย ๆ โดยเฉพาะกับระบบที่แพตช์ยากและใช้เวลานานอย่าง SAP

คำแนะนำ

ติดตั้งประกาศความปลอดภัยประจำเดือนกันยายน 2569 ของ SAP โดยจัดลำดับความสำคัญที่ฉบับซึ่งแก้ CVE-2026-44756 เป็นอันดับแรก และตรวจสอบว่าระบบทุกตัวที่ใช้เคอร์เนลรุ่นที่ได้รับผลกระทบอยู่ในแผนการแพตช์ ไม่ใช่เฉพาะระบบที่เปิดสู่อินเทอร์เน็ต เนื่องจากเส้นทางโจมตีครอบคลุมการเชื่อมต่อระหว่างระบบภายในด้วย

จัดทำบัญชีระบบ SAP ทั้งหมดในองค์กรพร้อมเวอร์ชันเคอร์เนลที่ใช้จริง รวมถึงระบบทดสอบ ระบบสำหรับพัฒนา และระบบที่ถูกลืมไว้จากโครงการเก่า เพราะระบบเหล่านี้มักเชื่อมต่อกับระบบใช้งานจริงผ่าน RFC และกลายเป็นทางเข้าที่ไม่มีใครเฝ้าระวัง

สำหรับช่วงเวลาก่อนที่การแพตช์จะครบทุกระบบ ให้จำกัดการเข้าถึงเส้นทางทั้งสามที่ Onapsis ระบุ ทั้งคำร้องผ่านเว็บ โปรโตคอลของ SAP GUI และการเชื่อมต่อ RFC ให้เหลือเฉพาะแหล่งที่จำเป็นจริง โดยเฉพาะการปิดกั้นการเข้าถึงจากเครือข่ายที่ไม่น่าเชื่อถือมายังพอร์ตที่ใช้สำหรับโปรโตคอลเหล่านี้

ทบทวนสิทธิ์ของบัญชีระบบปฏิบัติการที่เป็นเจ้าของการติดตั้ง SAP และสิ่งที่บัญชีนั้นเข้าถึงได้บนเครื่อง เนื่องจากการรันโค้ดในบริบทของบัญชีนี้เท่ากับได้ระบบ SAP ทั้งระบบ การจำกัดสิ่งที่บัญชีนั้นทำได้บนโฮสต์และการแยกโฮสต์ออกจากทรัพยากรอื่นในเครือข่ายจึงลดความเสียหายในกรณีเลวร้ายที่สุดลงได้

เพิ่มการเฝ้าระวังที่ระดับเครือข่ายและระดับโฮสต์รอบระบบ SAP ในช่วงนี้ โดยเฉพาะการเชื่อมต่อ RFC ที่มาจากต้นทางผิดปกติ และกระบวนการใหม่ที่ถูกสร้างโดยบัญชีเจ้าของการติดตั้ง SAP เนื่องจากยังไม่มีตัวบ่งชี้การถูกเจาะเผยแพร่ออกมา การตรวจจับจึงต้องอาศัยการเบี่ยงเบนจากพฤติกรรมปกติของระบบตัวเองเป็นเกณฑ์

แหล่งอ้างอิง