620/69 (IT) ประจำวันพุธที่ 11 พฤศจิกายน 2569
บริษัท SAP ออกอัปเดตความมั่นคงปลอดภัยประจำเดือนพฤศจิกายน 2569 เพื่อแก้ไขช่องโหว่จำนวน 35 รายการ โดยมีช่องโหว่ระดับวิกฤตสูงสุดจำนวน 4 รายการ ที่ได้รับคะแนนความรุนแรง CVSS 10.0 ส่งผลกระทบต่อผลิตภัณฑ์ SAP NetWeaver Application Server ABAP, SAP Web Dispatcher และ SAP Gateway ซึ่งเป็นส่วนประกอบสำคัญของระบบ SAP ที่ใช้ในการเชื่อมต่อแอปพลิเคชัน การยืนยันตัวตน การบริหารจัดการผู้ใช้งาน และการประมวลผลข้อมูลทางธุรกิจ โดยช่องโหว่ดังกล่าวประกอบด้วย CVE-2026-76964 ซึ่งเป็นช่องโหว่ประเภท Memory Corruption ในส่วน Internet Communication Manager (ICM), CVE-2026-120017 ซึ่งเป็นช่องโหว่ Missing Authentication ในส่วน SAML2 Service Provider ของ NetWeaver Application Server ABAP, CVE-2026-89103 ซึ่งเป็นช่องโหว่ Broken Access Control ใน SAP Gateway และ CVE-2026-89126 ซึ่งเป็นช่องโหว่ Memory Corruption ใน SAP Web Dispatcher ทั้งนี้ SAP ระบุว่าช่องโหว่ทั้ง 4 รายการมีความรุนแรงสูงสุด และอาจเปิดโอกาสให้ผู้โจมตีที่ไม่ได้ผ่านการยืนยันตัวตนสามารถเข้าควบคุมระบบที่ได้รับผลกระทบได้อย่างสมบูรณ์
บริษัท Cybersecurity ชื่อ Onapsis ซึ่งเป็นผู้ค้นพบและรายงานช่องโหว่จำนวน 3 รายการ ได้ตั้งชื่อช่องโหว่ CVE-2026-76964 และ CVE-2026-89126 ร่วมกันว่า ICM2SHELL และตั้งชื่อช่องโหว่ CVE-2026-89103 ว่า PROXYGATE โดย ICM2SHELL เป็นช่องโหว่ที่เกี่ยวข้องกับการประมวลผล Web Traffic ในส่วนประกอบที่ให้บริการผ่านเครือข่าย ซึ่งอาจเปิดโอกาสให้ผู้โจมตีใช้ประโยชน์จากช่องโหว่เพื่อสั่งรันคำสั่งบนระบบ (Remote Code Execution: RCE) ได้โดยไม่จำเป็นต้องมีบัญชี SAP รหัสผ่าน หรือการดำเนินการใด ๆ จากผู้ใช้งาน ขณะที่ PROXYGATE เป็นช่องโหว่ที่เปิดโอกาสให้ผู้โจมตีจากภายนอกสามารถหลอกให้ SAP Gateway เข้าใจว่าการเชื่อมต่อมาจาก Internal Application Server ที่เชื่อถือได้ ส่งผลให้สามารถข้ามกระบวนการตรวจสอบสิทธิ์และสั่งรันคำสั่งด้วยสิทธิ์ของบัญชีที่ใช้ติดตั้ง SAP ได้ โดยไม่ต้องผ่านการยืนยันตัวตน ทั้งนี้ หากผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวบนระบบ Enterprise Resource Planning (ERP) ที่ใช้งานจริง อาจส่งผลกระทบต่อการรักษาความลับของข้อมูลทางธุรกิจ ความถูกต้องของธุรกรรม และความพร้อมใช้งานของแอปพลิเคชันสำคัญภายในองค์กร
SAP ระบุว่าช่องโหว่ระดับ Critical ทั้ง 4 รายการได้รับการแก้ไขแล้วผ่าน Security Update ประจำเดือนพฤศจิกายน 2569 โดยก่อนหน้านี้บริษัทเคยออกแพตช์แก้ไขช่องโหว่ระดับความรุนแรงสูงสุดในผลิตภัณฑ์อื่นหลายรายการ ได้แก่ CVE-2026-58231 ใน SAP Commerce Cloud เมื่อเดือนสิงหาคม ซึ่งมีรายงานการนำไปใช้โจมตีจริง รวมถึง CVE-2026-44756 หรือ OVERPASS ซึ่งเป็นช่องโหว่ Memory Corruption ใน SAP Kernel เมื่อเดือนกันยายน และ CVE-2026-89111 ซึ่งเป็นช่องโหว่ Server-Side Request Forgery (SSRF) ที่เกี่ยวข้องกับ OAuth2 ใน SAP Business Technology Platform (BTP) เมื่อเดือนตุลาคม นอกจากนี้ สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ยังได้บันทึกช่องโหว่ของ SAP จำนวน 14 รายการเข้าสู่บัญชี Known Exploited Vulnerabilities (KEV) ตั้งแต่เดือนพฤศจิกายน 2564 โดยมี 3 รายการที่พบการใช้ประโยชน์จากกลุ่ม Ransomware ทั้งนี้ องค์กรที่ใช้งานผลิตภัณฑ์ SAP ควรเร่งตรวจสอบเวอร์ชันที่ได้รับผลกระทบ ติดตั้ง Security Patch ตามประกาศของผู้ผลิต และทบทวนการกำหนดสิทธิ์เข้าถึงระบบ เพื่อลดความเสี่ยงจากการถูกโจมตีผ่านช่องโหว่ที่อาจส่งผลให้ผู้โจมตีเข้าควบคุมระบบสำคัญขององค์กรได้
แหล่งข่าว : https://www.bleepingcomputer.com/news/security/sap-patches-four-maximum-severity-security-vulnerabilities/