SAP heeft op zijn Security Patch Day 22 nieuwe en bijgewerkte security notes uitgebracht. In totaal gaat het om meerdere kwetsbaarheden, maar de nadruk ligt op vier issues met een kritieke ernst. Voor organisaties die werken met SAP NetWeaver, SAP S/4HANA en aanverwante componenten is dit een update die prioriteit verdient.
Wat extra aandacht vraagt: sommige van deze fouten raken OAuth2-stromen, toegang tot portalfunctionaliteit en server-side code-uitvoering. SAP meldt geen concrete misbruikgevallen in het wild, maar adviseert wel om snel te patchen.
Waarom SAP Patch Day kritieke fixes belangrijk zijn
Kwetsbaarheden binnen enterprise-omgevingen kunnen impact hebben op meerdere lagen: van integratie en portalen tot de onderliggende applicatie- en datacomponenten. De vier kritieke beveiligingsproblemen die SAP nu adresseert, tonen precies dat patroon: het gaat niet alleen om “gewone” codefouten, maar om issues die kunnen leiden tot tokenexfiltratie, ongeautoriseerde acties of volledige systeemcompromitteerbaarheid.
Daarnaast is de kans op schade vaak hoger wanneer toepassingen multi-tenant zijn, wanneer rollen beperkt zijn maar rechten toch te ruim blijken, of wanneer validatie van input in de keten ontbreekt.
CVE-2026-89111: OAuth2 SSRF in Cloud SDK voor Python
De belangrijkste vermelde kwetsbaarheid is CVE-2026-89111 met een CVSS-score van 10/10. Deze fout gaat over OAuth2 SSRF in Cloud SDK for Python. De impact geldt voor multi-tenant BTP-applicaties.
SAP beschrijft dat een aanvaller die de parameter tenant_subdomain kan beïnvloeden, OAuth2-tokenverzoeken kan omleiden naar een server die door de aanvaller wordt gecontroleerd. Daardoor kan exfiltratie van client credentials optreden: gegevens die bedoeld zijn om clientidentiteit aan de juiste autorisatieserver te koppelen.
In de praktijk betekent dit dat de aanvaller misbruik kan maken van de manier waarop OAuth2-aanvragen worden opgebouwd, en zo gevoelige authenticatiegegevens kan verzamelen.
CVE-2026-89110: gebroken toegang in NetWeaver Visual Composer
De tweede kritieke issue is CVE-2026-89110 (CVSS 9.9/10). Hierbij draait het om een broken access control in specifieke portalfunctionaliteit van NetWeaver Visual Composer.
Volgens Onapsis kan een aanvaller met een lage(re) rechtenstatus interne bewerkingen aanroepen op een vooraf geconfigureerd extern systeem. Als die acties niet voldoende zijn afgeschermd, kan dat leiden tot volledige compromis van het systeem.
Belangrijk detail: dit soort fouten is verraderlijk omdat het niet per se om “een bug in de code” gaat, maar om autorisatielogica die niet klopt rond bepaalde portalroutes of functionaliteiten.
CVE-2026-89107: code-injectie in S/4HANA via ABAP
Ook kritisch is CVE-2026-89107 (CVSS 9.9/10), een code-injection kwetsbaarheid in S/4HANA. SAP Patch Day richt zich hier op de mogelijkheid voor geauthenticeerde aanvallers om willekeurige ABAP-code uit te voeren.
De onderliggende oorzaak zit in het feit dat het proces voor rule definitions input niet correct valideert. Daarbij speelt een rol dat aanvallers met een specifieke bedrijfsrol binnen Fiori Applications bewerkte (gecraftte) input kunnen aanleveren.
Als exploitatie lukt, kan dit uiteindelijk resulteren in overname van een kwetsbaar systeem. Voor teams die Fiori-configuraties en rule-definities beheren, is dit een duidelijke reden om zowel patching als review van rollen en invoerkanalen prioriteit te geven.
CVE-2026-89108: ontbrekende autorisatie in Manufacturing Integration en Intelligence
De vierde kritieke kwetsbaarheid is CVE-2026-89108 (CVSS 9.1/10). Deze fout gaat over missing authorization checks in Manufacturing Integration and Intelligence, met een serieuze mogelijke consequentie.
Als een aanvaller over XMII Admin-privileges beschikt, zou die in staat kunnen zijn om een administratoraccount te creëren op de onderliggende Java applicatieserver. Vervolgens is een volledige compromis van het systeem mogelijk.
Dit wijst op een autorisatiepad dat niet alle relevante checks doorloopt, waardoor beheerdersrollen in de ene component kunnen doorsijpelen naar root-achtige impact op een onderliggende laag.
Ook: high-severity issues in Commerce Cloud, NetWeaver en ABAP Platform
Naast de vier kritieke fixes pakt SAP op dezelfde Patch Day ook high-severity kwetsbaarheden aan. Daarbij gaat het onder meer om problemen die kunnen leiden tot:
- SQL-injectie (het inspuiten van willekeurige SQL-commando’s)
- crashes van processen
- het omzeilen van restricties
Concreet worden deze problemen genoemd in samenhang met Commerce Cloud, NetWeaver en ABAP Platform. Ook al zijn deze issues niet allemaal “kritiek” volgens de hoogste categorie, de beschreven gevolgen kunnen alsnog groot zijn voor beschikbaarheid en integriteit.
Geen melding van actief misbruik, maar wel snel patchen
SAP vermeldt in dit verband dat er geen aanwijzingen worden gedaan dat de nieuw opgeloste kwetsbaarheden actief worden misbruikt in het wild. Dat is positief, maar geen reden om te wachten.
Security teams doen er verstandig aan om patchbesluiten te koppelen aan hun assetinventaris: welke versies draaien er, welke componenten gebruiken BTP of Cloud SDK for Python, en welke Fiori-rollen hebben toegang tot rule definitions?
Praktische aanpak voor beheerders
Om de impact van SAP Patch Day kritieke fixes beheersbaar te maken, kun je de volgende stappen opnemen in je patch- en validatieroutine.
1) Inventariseer getroffen componenten
Breng in kaart welke omgevingen gebruikmaken van Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA rule-definitions in Fiori en Manufacturing Integration and Intelligence. Kijk daarbij naar zowel productversies als configuraties.
2) Beoordeel rollen en autorisaties
Omdat meerdere issues te maken hebben met gebroken of ontbrekende autorisatiechecks, is het verstandig om gebruikersrollen en rechtenstromen te controleren. Denk aan: wie kan rule definitions wijzigen, welke functies staan open in portals, en welke rechten vallen onder XMII Admin.
3) Test integraties en loginstromen
Specifiek bij OAuth2-gerelateerde kwetsbaarheden is het verstandig om tokenstromen en redirect- of tenant-gerelateerde parameters te testen na patching. Daarmee verklein je het risico op regressies en kun je tegelijk detecteren of er onverwachte afwijkingen optreden.
4) Documenteer de patching en controleer monitoring
Leg vast welke security notes zijn geïnstalleerd, wanneer dat is gebeurd en welke controles je hebt geactiveerd. Monitoring helpt vooral om later te kunnen verklaren wat er veranderde in auth- en autorisatiegedrag.
Meer lezen over patch- en beveiligingsrisico’s
Als je ook kijkt naar bredere beveiligingsaanvallen die voortkomen uit softwarecomponenten en misbruik van kwetsbaarheden, dan zijn deze artikelen relevant voor je context:
