SAP har publisert oktoberoppdateringene sine, som lukker 20 sikkerhetssårbarheter i flere produkter. Den alvorligste gjelder Cloud SDK for Python, et offisielt utviklerverktøy for AI-agenter og Python-applikasjoner som bruker tjenester på SAP Business Technology Platform (BTP).

Sårbarheten er registrert som CVE-2026-89111 og er klassifisert som en feil med maksimal alvorlighetsgrad. Den kan utnyttes eksternt av angripere uten privilegier, som dermed kan få tilgang til applikasjoners påloggings- og tilgangsdata.

Kan omdirigere OAuth2-forespørsler

Feilen skyldes server-side request forgery (SSRF) i OAuth2-håndteringen og berører BTP-applikasjoner med flere leietakere. Dersom en angriper kontrollerer parameteren tenant_subdomain, kan vedkommende omdirigere forespørsler om OAuth2-tokens til en server angriperen selv kontrollerer. På den måten kan klientens tilgangsdata bli eksfiltrert, opplyser SAP i en melding publisert tirsdag.

SAP anbefaler kunder som ikke kan installere oktoberoppdateringene umiddelbart, å bruke en midlertidig beskyttelse. Verdiene i tenant_subdomain bør kontrolleres mot en tillatt liste. For applikasjoner som brukes av forbrukere, bør parameteren sammenlignes med en kjent liste over registrerte underdomener for leietakere før hvert kall til SDK-en.

Flere alvorlige feil rettet

Oppdateringene lukker også CVE-2026-89110, en kritisk tilgangskontrollfeil i SAP NetWeaver Visual Composer. Feilen kunne gjøre det mulig for eksterne angripere med begrensede privilegier å ta full kontroll over sårbare systemer.

En annen kritisk sårbarhet, CVE-2026-89108, berørte SAP Manufacturing Integration and Intelligence. Angripere som allerede hadde administratorrettigheter, kunne bruke feilen til å få administrativ kontroll over det underliggende systemet ved å opprette en konto med utvidede privilegier i Java-applikasjonen.

Flere SAP-feil er aktivt utnyttet

SAP har også rettet flere andre sårbarheter med maksimal alvorlighetsgrad de siste månedene. I august lanserte selskapet en oppdatering for CVE-2026-58231 i Commerce Cloud, selskapets plattform for netthandel. Cybersikkerhetsselskapet Defused klassifiserte feilen som aktivt utnyttet i angrep noen dager etter at oppdateringen ble publisert.

I september rettet SAP en minnekorrupsjonsfeil i SAP Kernel, registrert som CVE-2026-44756. Sikkerhetsforskere fra Onapsis ga sårbarheten navnet OVERPASS. Ifølge Onapsis brukte mer enn 10 000 internettilgjengelige SAP-systemer den sårbare komponenten på det tidspunktet, og kunne derfor være utsatt for angrep som utnyttet feilen.

Det amerikanske byrået for cybersikkerhet og infrastruktursikkerhet, CISA, har siden november 2021 ført 14 SAP-sårbarheter i katalogen over feil som aktivt utnyttes. Tre av disse skal ha blitt brukt i løsepengevirusangrep.

SAP er et tysk, internasjonalt programvareselskap. Tjenestene brukes av 99 av verdens 100 største selskaper. I regnskapsåret 2025 rapporterte selskapet inntekter på mer enn 36 milliarder euro.