SAP phát hành bản vá khẩn cấp khắc phục 22 lỗ hổng bảo mật nghiêm trọng

Trong đợt phát hành bản vá định kỳ tháng 10/2026, tập đoàn SAP đã triển khai các bản cập nhật quan trọng nhằm giải quyết hàng loạt lỗ hổng bảo mật, bao gồm lỗi tiêm mã độc, vấn đề kiểm soát truy cập và các điểm yếu trên nền tảng đám mây.

Chi tiết đợt cập nhật bản vá tháng 10/2026

Đợt phát hành này bao gồm tổng cộng 16 bản tin bảo mật mới, 4 tư vấn bảo mật từ GitHub cùng với 2 bản cập nhật cho các ghi chú trước đó. Đây là một chu kỳ vá lỗi mang tính sống còn đối với các tổ chức và doanh nghiệp đang vận hành hệ thống phần mềm của SAP.

Qua quá trình rà soát, các nhà nghiên cứu bảo mật đã phát hiện 4 lỗ hổng đạt mức độ nghiêm trọng cao nhất (Critical), đòi hỏi bộ phận vận hành hệ thống phải đặt ưu tiên xử lý hàng đầu để tránh bị kẻ xấu lợi dụng.

Các lỗ hổng nghiêm trọng đáng chú ý

Đứng đầu là lỗ hổng mã số CVE-2026-89111 đạt điểm số tối đa CVSS 10.0, xuất hiện trong SAP Cloud SDK dành cho Python (các phiên bản trước 0.45.2). Lỗi này thuộc dạng giả mạo yêu cầu phía máy chủ (SSRF) nằm trong các ứng dụng đa người thuê trên SAP Business Technology Platform. Kẻ tấn công có thể lợi dụng tham số tenant_subdomain để chuyển hướng yêu cầu token tới máy chủ do chúng kiểm soát, gây ra tình trạng rò rỉ thông tin xác thực của khách hàng.

Bên cạnh đó, lỗ hổng CVE-2026-89107 nhận điểm CVSS 9.9, ảnh hưởng trực tiếp đến tính năng Manage Substitution/Validation Rules trong SAP S/4HANA (phiên bản S4CORE từ 105 đến 109). Nguyên nhân gốc rễ là việc hệ thống kiểm soát đầu vào không đầy đủ đối với ngôn ngữ kịch bản quy tắc kinh doanh. Những kẻ tấn công đã được xác thực có thể gửi các dữ liệu đầu vào tùy chỉnh để ép hệ thống thực thi mã ABAP trái phép, qua đó chiếm quyền kiểm soát toàn bộ hệ thống.

Một điểm yếu khác là CVE-2026-58249 với điểm CVSS 7.5, tác động đến thành phần Internet Communication Manager trong SAP NetWeaver và Web Dispatcher. Lỗ hổng này cho phép kẻ tấn công từ xa gửi yêu cầu độc hại mà không cần qua bước xác thực, dẫn đến lỗi xử lý bộ nhớ và làm gián đoạn tiến trình hệ thống, ảnh hưởng trực tiếp đến tính sẵn sàng của dịch vụ.

Khuyến cáo dành cho quản trị viên hệ thống

Các chuyên gia bảo mật cảnh báo rằng những lỗ hổng này có nguy cơ bị khai thác triệt để nhằm chiếm đoạt quyền điều khiển hoặc đánh cắp các dữ liệu doanh nghiệp nhạy cảm. Do đó, các quản trị viên hệ thống cần nhanh chóng tham khảo tài liệu hướng dẫn từ CISA hoặc thông báo chính thức của SAP để nắm thông tin chi tiết.

Việc duy trì một quy trình quản lý bản vá nghiêm ngặt và đồng bộ được xem là giải pháp then chốt giúp các doanh nghiệp bảo vệ hạ tầng công nghệ thông tin trước các mối đe dọa an ninh mạng ngày càng phức tạp.