SAP dicht kritieke lekken in NetWeaver, S/4HANA en Cloud SDK

SAP heeft 22 nieuwe en bijgewerkte security notes uitgebracht voor zijn Security Patch Day van oktober 2026. Vier daarvan gaan over kwetsbaarheden die als kritiek zijn aangemerkt. De updates gelden voor de Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA en Manufacturing Integration and Intelligence.

De Duitse maker van bedrijfssoftware publiceerde de notes op dinsdag. Volgens SAP worden de lekken voor zover bekend niet actief misbruikt.

Lek met maximale ernst in de Cloud SDK for Python

Het ernstigste probleem is CVE-2026-89111, met een CVSS-score van 10/10. Het gaat om een server-side request forgery (SSRF) in de OAuth2-afhandeling van SAP's Cloud SDK for Python. Het lek treft multi-tenant applicaties die draaien op BTP, het Business Technology Platform van SAP.

SAP beschreef het probleem in een advisory op GitHub: "Een aanvaller die de parameter tenant_subdomain beheerst, kan OAuth2-tokenverzoeken omleiden naar een server die onder controle van de aanvaller staat, waardoor client credentials worden buitgemaakt."

Wie die ene parameter manipuleert, kan tokenverzoeken dus naar eigen infrastructuur sturen en zo de client credentials onderscheppen waarmee de applicatie zich authenticeert.

Visual Composer en S/4HANA

Het tweede kritieke lek, CVE-2026-89110 (CVSS-score 9,9/10), betreft gebrekkige toegangscontrole in portaalfunctionaliteit van NetWeaver Visual Composer. NetWeaver is het technologieplatform waarop veel bedrijfsapplicaties van SAP draaien.

Volgens Onapsis, gespecialiseerd in de beveiliging van bedrijfsapplicaties, kan "een aanvaller met beperkte rechten interne operaties aanroepen op een vooraf geconfigureerd extern systeem." Misbruik kan leiden tot volledige overname van dat externe systeem.

CVE-2026-89107, eveneens met een score van 9,9/10, is een code-injectielek in S/4HANA, het ERP-pakket van SAP. Ingelogde aanvallers kunnen er willekeurige ABAP-code mee uitvoeren, de programmeertaal die in de bedrijfssoftware van SAP wordt gebruikt.

Onapsis stelt dat de oorzaak ligt in het proces voor het definiëren van regels, waarin invoer niet goed wordt gecontroleerd. Een aanvaller met een specifieke bedrijfsrol in de Fiori Applications, de webgebaseerde gebruikersinterface van SAP, kan gemanipuleerde invoer insturen en mogelijk het kwetsbare systeem overnemen.

Beheerdersaccounts aanmaken in MII

Het vierde kritieke lek is CVE-2026-89108 (CVSS-score 9,1/10), een ontbrekende autorisatiecontrole in Manufacturing Integration and Intelligence (MII).

Een aanvaller die al over XMII Admin-rechten beschikt, kan daarmee een beheerdersaccount aanmaken op de onderliggende Java-applicatieserver. Van daaruit kan hij het systeem volledig overnemen.

Updates voor ernstige lekken

De oktoberronde bevat ook updates voor ernstige lekken in Commerce Cloud, NetWeaver en het ABAP Platform. Afhankelijk van het lek kunnen aanvallers willekeurige SQL-opdrachten injecteren, een proces laten crashen of beperkingen omzeilen.

SAP raadt klanten aan de updates zo snel mogelijk te installeren.

Waarom dit ertoe doet

SAP-systemen bevatten vaak de gegevens en processen waar bedrijven het meest van afhankelijk zijn: financiën, toeleveringsketens, productie en klantgegevens. Veel van deze lekken vereisen enige vorm van authenticatie of een specifieke rol. Dat moet je niet opvatten als een laag risico. Accounts met beperkte rechten en bedrijfsrollen zijn in grote organisaties wijdverspreid en kunnen worden gephisht, hergebruikt of misbruikt door insiders. In dit geval kan dat al genoeg zijn om een systeem over te nemen.

Het lek in de Cloud SDK springt eruit omdat het draait om inloggegevens en niet om het uitvoeren van code. In multi-tenant cloudomgevingen kunnen gestolen client credentials een aanvaller een voet tussen de deur geven die lastiger op te merken is dan een gecrashte server. Teams die BTP-applicaties draaien die met de Python-SDK zijn gebouwd, doen er goed aan na te gaan welke versie ze gebruiken en of tenant-invoer in tokenverzoeken terechtkomt.

De release valt in een drukke patchweek. Hij volgt op Microsofts Patch Tuesday van oktober en een grote reeks ICS-advisories van Siemens en Rockwell. Daarmee duikt het bekende probleem van prioriteren weer op. Bedrijfsapplicaties worden vaak trager gepatcht dan endpoints, vanwege testwerk en zorgen over beschikbaarheid. Wat een gemiste update kan kosten, bleek onlangs nog toen een overgeslagen PeopleSoft-patch de schuld kreeg van een groot datalek.

Tot nu toe zijn er geen meldingen van misbruik. Het is wel zaak in de gaten te houden of er de komende weken technische analyses of proof-of-concept-code opduiken, want dat verkort vaak de tijd die verdedigers hebben om te patchen.