SAP ได้แก้ไขช่องโหว่ถึง 35 จุดในอัปเดตความปลอดภัยเดือนพฤศจิกายน ซึ่งรวมถึงปัญหาร้ายแรงสูงสุด 4 จุด ที่ส่งผลกระทบต่อซอฟต์แวร์ NetWeaver, Web Dispatcher และ Gateway
ปัญหาที่ถูกแก้ไขคือการเสียหายของหน่วยความจำ (CVE-2026-76964) และการขาดการยืนยันตัวตน (CVE-2026-120017) ในส่วนประกอบ Internet Communication Manager และ SAML2 Service Provider ของ NetWeaver Application Server ABAP
Gateway เป็นเฟรมเวิร์กหลักที่ช่วยให้แอปพลิเคชันภายนอกเชื่อมต่อกับระบบหลังบ้านของ SAP ได้อย่างปลอดภัย ขณะที่ Web Dispatcher ทำหน้าที่เป็นโหลดบาลานเซอร์และรีเวิร์สพร็อกซีสำหรับคำขอเว็บที่เข้าสู่สถาปัตยกรรม SAP
Onapsis ระบุว่า ICM2SHELL เปลี่ยนส่วนปกติของการรับส่งข้อมูลเว็บให้เป็นจุดที่ผู้โจมตีสามารถเข้าถึงได้จากระยะไกล โดยไม่จำเป็นต้องมีผู้ใช้หรือรหัสผ่านของ SAP
สำหรับกรณีที่เคยพบก่อนหน้า SAP ได้แพตช์ CVE-2026-58231 ใน Commerce Cloud ในเดือนสิงหาคม ซึ่งถูกตรวจพบว่ามีการถูกโจมตีอยู่แล้ว และยังแก้ไขช่องโหว่ร้ายแรงสูงสุดอีกสองจุดในเดือนกันยายนและตุลาคมด้วย
SAP คือบริษัทซอฟต์แวร์ข้ามชาติของเยอรมนี ซึ่งมีรายได้เกิน 36 พันล้านยูโรในปีงบประมาณ 2025 และให้บริการแก่บริษัทขนาดใหญ่ที่สุด 99 แห่งทั่วโลก
ศัพท์ที่ควรรู้
- NetWeaver – เป็นส่วนประกอบของ SAP ที่เกี่ยวข้องกับการสื่อสารและการทำงานของระบบ
- Web Dispatcher – ส่วนประกอบเฉพาะที่ทำหน้าที่เป็นตัวปรับสมดุลโหลดและพร็อกซีสำหรับคำขอเว็บ
- Gateway – เฟรมเวิร์กหลักที่ช่วยให้แอปพลิเคชันภายนอกเชื่อมต่อกับระบบ SAP หลังบ้านได้อย่างปลอดภัย
- CVE-2026-76964 – คือรหัสอ้างอิงของช่องโหว่ด้านความปลอดภัยที่ถูกแก้ไข
- Remote Code Execution – คือการที่ผู้โจมตีสามารถสั่งให้ระบบทำงานตามที่ต้องการจากระยะไกลได้
ที่มา: bleepingcomputer.com