SAP ออก Patch Day ของตุลาคม 2569 แก้ 22 รายการ ระดับวิกฤต 4 รายการ เช่น Cloud SDK for Python SSRF คะแนนเต็ม 10.0 และ S/4HANA ทำ Code Injection ใน ABAP คะแนน 9.9

สรุปสั้น

บริษัท SAP ออกแพตช์ความปลอดภัยประจำเดือนตุลาคม 2569 (Security Patch Day) เมื่อวันที่ 13 ตุลาคม 2569 ประกอบด้วย Security Note ใหม่ 16 รายการ GitHub security advisory 4 รายการ และการอัปเดต note เดิม 2 รายการ รวม 22 รายการ แบ่งเป็นระดับวิกฤต 4 ระดับสูง 3 ระดับปานกลาง 14 และระดับต่ำ 1 ครอบคลุม S/4HANA, NetWeaver, Web Dispatcher, Commerce Cloud และไลบรารีสำหรับนักพัฒนาหลายตัว ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-89111 ใน SAP Cloud SDK for Python คะแนน CVSS 10.0 ซึ่งเป็น SSRF ในขั้นตอน OAuth2 ที่อาจทำให้ข้อมูลรับรองไคลเอนต์รั่วไปยังเซิร์ฟเวอร์ของผู้โจมตี

ช่องโหว่วิกฤตอีก 3 รายการ ได้แก่ CVE-2026-89107 การทำ Code Inject ใน ABAP ในฟีเจอร์ Manage Substitution/Validation Rules ของ S/4HANA (9.9) CVE-2026-89110 การควบคุมสิทธิ์บกพร่องใน NetWeaver Visual Composer (9.9) และ CVE-2026-89108 การขาดการตรวจสิทธิ์ใน Manufacturing Integration and Intelligence (9.1) ส่วนช่องโหว่หน่วยความจำ CVE-2026-58249 ใน Internet Communication Manager (ICM) ของ NetWeaver และ Web Dispatcher ได้คะแนน 7.5 ระดับสูง ไม่ใช่วิกฤต และผลกระทบที่เผยแพร่คือทำให้บริการล่ม ไม่ใช่การรันโค้ดหรือขโมยข้อมูล ยังไม่มีรายงานว่าช่องโหว่ชุดใหม่นี้ถูกใช้โจมตีจริง

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 13 ตุลาคม 2569 ตามประกาศ October Patch Day ของ SAP ว่ารอบนี้มีความสำคัญสำหรับทีมที่ดูแลระบบธุรกิจของ SAP เพราะมีถึง 4 รายการระดับวิกฤต และครอบคลุมทั้งระบบ on-premise ระบบคลาวด์ และไลบรารีที่นักพัฒนานำไปใช้สร้างแอปพลิเคชันบน SAP Business Technology Platform (BTP)

ข่าวต้นฉบับพาดหัวว่าเป็นช่องโหว่ “memory corruption ระดับวิกฤต” แต่ตามประกาศของ SAP ช่องโหว่หน่วยความจำ CVE-2026-58249 จัดเป็นระดับสูง ผลกระทบที่เผยแพร่คือด้านความพร้อมใช้งานเท่านั้น ไม่กระทบการรักษาความลับหรือความถูกต้องของข้อมูล ทั้งนี้ช่องโหว่นี้กระทบส่วนประกอบจำนวนมาก ตั้งแต่ HDB 2.00 kernel และ Web Dispatcher หลายรุ่น ไปจนถึง Content Server, XS Advanced Runtime และ SAP Extended Application Services ผู้ดูแลจึงต้องเทียบส่วนประกอบที่ติดตั้งจริงกับรายการของ SAP แทนที่จะคิดว่าทุกระบบต้องใช้แพ็กเกจเดียวกัน

รายงานยังอ้างถึงเหตุการณ์ในอดีตที่ช่องโหว่ใน Visual Composer อย่าง CVE-2025-31324 ถูกใช้เป็นทางเข้าเครือข่ายองค์กรและ CISA เคยเตือนการโจมตีจริง แต่นั่นเป็นคนละช่องโหว่ และไม่ใช่หลักฐานว่าช่องโหว่ที่เพิ่งเปิดเผยรอบนี้ถูกโจมตีแล้ว

รายละเอียดช่องโหว่

CVE-2026-89111 (CVSS 10.0) — SAP Cloud SDK for Python ช่องโหว่ SSRF ในขั้นตอน OAuth2 กระทบเวอร์ชันก่อน 0.45.2 ในแอปพลิเคชันที่ให้บริการหลายผู้เช่า (multi-tenant) บน SAP BTP ผู้โจมตีที่ควบคุมพารามิเตอร์ tenant_subdomain ได้ สามารถเปลี่ยนเส้นทางคำขอโทเคนไปยังเซิร์ฟเวอร์ของตัวเอง และได้ข้อมูลรับรองของไคลเอนต์ไป

CVE-2026-89107 (CVSS 9.9) — SAP S/4HANA Manage Substitution/Validation Rules กระทบ S4CORE 105, 106, 107, 108 และ 109 แก้ใน Security Note 3805589 จุดอ่อนอยู่ที่การตรวจอินพุตภาษาสคริปต์ที่ใช้เขียนกฎทางธุรกิจ ผู้โจมตีที่ยืนยันตัวตนแล้วและมีสิทธิ์ทางธุรกิจเฉพาะ สามารถส่งอินพุตที่ระบบตีความเป็นโค้ด ABAP ที่รันได้ หากสำเร็จจะควบคุมระบบได้กว้างขวาง กระทบทั้งความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูล แม้ต้องมีบัญชีที่มีสิทธิ์เหมาะสม แต่ CVSS vector ระบุว่าความซับซ้อนต่ำและไม่ต้องอาศัยการกระทำของผู้ใช้อื่น

CVE-2026-89110 (CVSS 9.9) — SAP NetWeaver Visual Composer การควบคุมสิทธิ์บกพร่องใน VC70RUNTIME 7.50

CVE-2026-89108 (CVSS 9.1) — SAP MII Configuration Service ขาดการตรวจสิทธิ์ใน XMII 15.4 และ 15.5

CVE-2026-58249 (CVSS 7.5) — ICM ใน NetWeaver และ Web Dispatcher แก้ใน Security Note 3765424 ผู้โจมตีจากระยะไกลไม่ต้องยืนยันตัวตน ส่งคำขอที่ปรับแต่งไปยังส่วนประกอบโปรโตคอลภายในที่ตรวจบางฟิลด์ไม่ถูกต้อง ทำให้เกิดข้อผิดพลาดในการจัดการหน่วยความจำและโปรเซสล่ม

รายการระดับสูงและอื่น ๆ ที่ควรสังเกต

รายการระดับปานกลางที่เหลือส่วนใหญ่เป็น XSS ใน SAPUI5, Enterprise Portal, SAP GUI for HTML และ MII รวมถึง open redirect และการรั่วไหลข้อมูลใน Enterprise Portal และการขาดตรวจสิทธิ์ใน S/4HANA Linear Asset Management และ Global Trade Services ส่วน note ที่อัปเดต 2 รายการเกี่ยวกับ SSRF และ scripting เดิม (เช่น CVE-2025-42938)

ผลกระทบ

ระบบ SAP เป็นแกนกลางของงานการเงิน จัดซื้อ การผลิต และห่วงโซ่อุปทานขององค์กรขนาดใหญ่ ช่องโหว่แบบ code Injection ใน ABAP ใน S/4HANA จึงมีความเสี่ยงสูงต่อการปลอมแปลงข้อมูลทางบัญชีหรือการทุจริตโดยผู้ใช้ภายในหรือบัญชีที่ถูกยึด แม้ต้องมีสิทธิ์ทางธุรกิจก่อนก็ตาม ส่วน CVE-2026-89111 กระทบนักพัฒนาที่สร้างแอปหลายผู้เช่าบน BTP โดยตรง เพราะข้อมูลรับรองไคลเอนต์ที่รั่วอาจถูกใช้เข้าถึงบริการอื่นต่อได้

Web Dispatcher และ ICM มักหันหน้าออกอินเทอร์เน็ตเพื่อรองรับ Fiori หรือ portal ช่องโหว่ CVE-2026-58249 ที่ไม่ต้องยืนยันตัวตนจึงอาจถูกใช้ทำให้บริการธุรกิจหยุดชะงักได้ง่าย แม้จะไม่ถึงขั้นรันโค้ด และประสบการณ์จาก Visual Composer ปี 2568 แสดงว่าช่องโหว่ SAP ที่ถูกเปิดเผยมักถูกนำไปโจมตีได้เร็วหลังมีข้อมูลทางเทคนิค

คำแนะนำ

• เข้า SAP for Me อ่าน Security Notes ประจำเดือนตุลาคม 2569 และระบุผลิตภัณฑ์/ส่วนประกอบที่องค์กรใช้จริง ก่อนวางแผนแพตช์ตามความสำคัญทางธุรกิจ
• เร่งแพตช์ 4 รายการวิกฤตก่อน: ติดตั้ง Note 3805589 สำหรับ S/4HANA และ note ของ Visual Composer กับ MII
• นักพัฒนาที่ใช้ SAP Cloud SDK for Python อัปเกรดเป็น 0.45.2 ขึ้นไป ตรวจว่าแอปใดใช้ไลบรารีนี้ และพิจารณาหมุนเวียน client secret ของแอปหลายผู้เช่าบน BTP
• ติดตั้ง Note 3765424 สำหรับ ICM/Web Dispatcher โดยเทียบรุ่น kernel, Web Dispatcher, Content Server และ XS Advanced ที่ใช้งานกับรายการของ SAP
• ระหว่างรอแพตช์ จำกัดสิทธิ์การสร้าง/แก้กฎ Substitution/Validation ให้เฉพาะผู้ที่จำเป็น และเฝ้าดูการเปลี่ยนแปลงกฎที่ผิดปกติ
• อย่าละเลย note ที่อัปเดตและรายการระดับปานกลาง เช่น Yeoman-UI ในเครื่องนักพัฒนา และ HybridTokenAuthenticator ที่เกี่ยวกับการยืนยันตัวตน

แหล่งอ้างอิง

• SAP Security Update Patches Critical Code Injection and Memory Corruption Vulnerabilities — Cyber Security News
• SAP Security Patch Day – October 2026 — SAP
• SAP Security Note 3805589 — SAP
• SAP Security Note 3765424 — SAP