SAP heeft op Security Patch Day 22 nieuwe en bijgewerkte security notes uitgebracht. Daarbij zitten vier kwetsbaarheden met critical-severity, waaronder een OAuth2-probleem met een CVSS-score van 10/10. Omdat SAP aangeeft geen aanwijzingen te zien dat deze nieuwe issues actief worden misbruikt, ligt de focus nu op tijdig patchen en het beperken van risico’s in SAP-landschap en integraties.
In dit artikel zetten we de belangrijkste punten op een rij en vertalen we ze naar praktische aandachtspunten voor teams die SAP-systemen beheren of beveiligen.
Vier SAP patches critical: wat is er precies opgelost?
De meest urgente onderdelen van de update zijn vier vulnerabilities met critical-severity. Ze raken verschillende componenten, van Cloud SDK voor Python tot S/4HANA en manufacturing-gekoppelde integratieonderdelen.
CVE-2026-89111: OAuth2 SSRF in Cloud SDK for Python
De lijst wordt aangevoerd door CVE-2026-89111 met een CVSS-score van 10/10. Het gaat om een OAuth2 SSRF-kwetsbaarheid in Cloud SDK for Python voor multi-tenant BTP-applicaties.
SAP beschrijft dat een aanvaller die de parameter tenant_subdomain kan beïnvloeden, OAuth2-tokenverzoeken kan omleiden naar een server die onder controle staat van de aanvaller. Daardoor kunnen client credentials worden geëxfiltreerd.
CVE-2026-89110: broken access control in NetWeaver Visual Composer
Op de tweede plek staat CVE-2026-89110 (CVSS 9,9/10). Deze issue draait om een broken access control in specifieke portalfunctionaliteit van NetWeaver Visual Composer.
Volgens Onapsis kan de fout een low-privileged aanvaller in staat stellen om interne operaties uit te voeren op een vooraf geconfigureerd extern systeem. In het ergste geval kan dat leiden tot volledige compromittering van dat systeem.
CVE-2026-89107: code injection in S/4HANA (ABAP)
De derde critical kwetsbaarheid is CVE-2026-89107 (CVSS 9,9/10), een code injection-probleem in S/4HANA. In deze variant kunnen geauthenticeerde aanvallers arbitrary ABAP-code uitvoeren.
De kern van het probleem zit in de manier waarop het systeem input valideert tijdens het rule definition-proces. Volgens Onapsis kan een aanvaller met een specifieke business role in Fiori Applications geconstrueerde input aanleveren. Als exploitatie slaagt, kan de aanvaller een kwetsbaar systeem overnemen.
CVE-2026-89108: missing authorization check in Manufacturing Integration en Intelligence
De vierde critical bug is CVE-2026-89108 (CVSS 9,1/10). Hier ontbreekt een autorisatiecontrole in Manufacturing Integration and Intelligence.
Het effect: een aanvaller met XMII Admin-rechten kan een administrator account aanmaken op het onderliggende Java applicatieserver en daarmee het systeem volledig compromitteren.
Ook high-severity issues: SQL-injectie, crash en bypass
Naast de vier critical issues meldt SAP ook high-severity kwetsbaarheden in meerdere onderdelen, waaronder Commerce Cloud, NetWeaver en de ABAP Platform.
Deze fouten kunnen volgens de samenvatting leiden tot:
- SQL-commando-injectie
- procescrashes
- bypass van restricties
Hoewel “high” niet automatisch “minder ernstig” betekent, vragen dit soort scenario’s vaak om snelle beoordeling: wat is de kans dat een aanvaller input kan leveren, en is er voldoende logging/monitoring om misbruik vroeg te detecteren?
Waarom “geen actieve exploitatie genoemd” je patchtempo niet verlaagt
SAP maakt in de aankondiging geen melding van actief misbruik van de nieuw opgeloste beveiligingsproblemen. Dat is positief, maar het is geen reden om het patchen uit te stellen.
Veel aanvallers wachten juist tot updates beschikbaar zijn om later alsnog succesvol te richten op systemen die achterblijven. Bovendien geldt: hoe langer kwetsbaarheden open staan, hoe groter de kans op opportunistisch testen door misbruikers.
Praktische aanpak voor teams: van prioriteit tot verificatie
Als je met SAP patches critical te maken hebt, helpt een gestructureerde werkwijze. Hieronder een aanpak die aansluit op de type risico’s uit de security notes.
1) Inventariseer welke componenten geraakt kunnen zijn
Start met het vaststellen waar Cloud SDK voor Python, NetWeaver Visual Composer, S/4HANA en Manufacturing Integration en Intelligence bij jullie in gebruik zijn. Noteer ook welke rollen en gebruikersprofielen toegang hebben tot relevante functionaliteit (zoals Fiori Applications of XMII Admin).
2) Patch op volgorde van impact en blootstelling
De OAuth2 SSRF in multi-tenant context (CVE-2026-89111) en de ABAP code injection (CVE-2026-89107) zijn voorbeelden van issues die sterke gevolgen kunnen hebben. Patch dus eerst waar de kans op misbruik het grootst is: omgevingen met externe interfaces, multi-tenant opzet of componenten die voor business users toegankelijk zijn.
3) Controleer autorisatiepaden en input-validatie
De critical bugs laten een rode draad zien: autorisatiecontrole en inputvalidatie waren onvoldoende. Na de update is het verstandig om te verifiëren of de betreffende flows correct werken voor legitieme gebruikers, en dat ongewenste aanvragen niet meer mogelijk zijn.
4) Zet detectie en logging klaar voor snelle signalering
Ook zonder bekende actieve exploitatie is het belangrijk dat je team afwijkende patronen kan herkennen, bijvoorbeeld ongebruikelijke OAuth2 token-aanvragen of onverklaarbare wijzigingen door accounts met verhoogde rechten.
Vergelijkbare kwetsbaarheidspraktijk: waarom integraties extra aandacht vragen
SAP-omgevingen bestaan zelden “op zichzelf”. Ze integreren met BTP-componenten, portals, middleware en clienttoepassingen. Juist bij ketens kan een klein gebrek in validatie of autorisatie groot worden.
Als je meer wilt weten over hoe patchupdates en beveiligingsketens in het verleden problemen hebben veroorzaakt (of verergerd), dan kan ook dit gerelateerde artikel nuttig zijn: Ivanti Connect Secure: keten van 3 zero-days. De context is anders, maar de les—ketenrisico’s door meerdere zwakke schakels—blijft relevant.
Conclusie: pak de updates nu aan, ook als er geen misbruik is gemeld
De nieuwe security notes van SAP bevatten vier critical-severity kwetsbaarheden: van OAuth2 SSRF in Cloud SDK for Python tot code injection in S/4HANA en autorisatieproblemen in NetWeaver en manufacturing-integratie. Hoewel SAP niet aangeeft dat deze issues al in het wild worden misbruikt, is het verstandig om SAP patches critical direct op te nemen in je patchplanning.
Door eerst te inventariseren, daarna gericht te patchen en tot slot de relevante autorisatie- en inputpaden te verifiëren, verklein je de kans op ernstige impact zoals credential-exfiltratie of systeemcompromittering.
Bron: https://www.securityweek.com/sap-patches-critical-netweaver-s-4hana-vulnerabilities/
