SAP تعالج ثغرة بحد أقصى للخطورة في OAuth2 تتيح سرقة بيانات الاعتماد في Cloud SDK for Python

تفاصيل الثغرة الأمنية

أصدرت SAP تحديثاتها الأمنية لشهر أكتوبر 2026 لمعالجة 20 ثغرة عبر محفظة منتجاتها، تتصدرها الثغرة CVE-2026-89111 ذات الخطورة القصوى في Cloud SDK for Python. يعمل هذا SDK كمجموعة أدوات برمجية رسمية لتطوير وكلاء الذكاء الاصطناعي وتطبيقات Python على خدمات منصة SAP Business Technology Platform.

تؤثر ثغرة OAuth2 SSRF على تطبيقات BTP متعددة المستأجرين ويمكن استغلالها من قبل مهاجمين عن بُعد دون الحاجة إلى أي امتيازات. من خلال التحكم في معامل tenant_subdomain، يستطيع المهاجمون إعادة توجيه طلبات رموز OAuth2 إلى خوادم تحت سيطرتهم، مما يتسبب في استخراج بيانات اعتماد العميل. أكدت SAP أن المؤسسات غير القادرة على نشر التحديثات فوراً يمكنها التخفيف المؤقت من المخاطر عبر التحقق من صحة قيم tenant_subdomain مقابل قائمة معروفة من نطاقات المستأجرين المسجلة قبل تمريرها إلى استدعاءات SDK.

ثغرات حرجة إضافية تمت معالجتها

يعالج تحديث أكتوبر أيضاً الثغرة CVE-2026-89110، وهي ثغرة حرجة في التحكم بالوصول المعطل في SAP NetWeaver Visual Composer تسمح للمهاجمين عن بُعد بامتيازات محدودة باختراق الأنظمة الضعيفة بالكامل. تؤثر ثغرة حرجة ثالثة CVE-2026-89108 على SAP Manufacturing Integration and Intelligence، مما يتيح للجهات المهددة بامتيازات المسؤول توفير حسابات بامتيازات مرتفعة على تطبيق Java الأساسي والحصول على تحكم إداري بالنظام.

السياق الأوسع

عالجت SAP عدة ثغرات بحد أقصى للخطورة في الأشهر الأخيرة، بما في ذلك CVE-2026-58231 في Commerce Cloud في أغسطس، والتي تم الإبلاغ عن استغلالها فعلياً بعد فترة وجيزة من الإفصاح عنها. أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية 14 ثغرة أمنية في SAP كثغرات مستغلة فعلياً منذ نوفمبر 2021، مع تأكيد استخدام ثلاث منها في هجمات برمجيات الفدية. تخدم SAP 99 من أكبر 100 شركة في العالم وأعلنت عن إيرادات تتجاوز 36 مليار يورو في السنة المالية 2025.