SAP baru saja merilis pembaruan keamanan Mei 2026 yang menangani 15 kerentanan di berbagai lini produknya. Sorotan utama tertuju pada dua celah keamanan kritis yang menyerang Commerce Cloud (platform e-commerce skala besar) dan S/4HANA (ERP berbasis cloud).
Mengingat peran krusial kedua sistem ini dalam operasional perusahaan global, eksploitasi pada celah ini dapat berdampak fatal pada kerahasiaan dan ketersediaan data perusahaan.
Dua Celah Kritis yang Wajib Diwaspadai
Berikut adalah detail teknis dari dua kerentanan dengan tingkat keparahan tertinggi dalam rilis kali ini:
- CVE-2026-34263 (SAP Commerce Cloud): Eksekusi Kode Jarak Jauh (RCE)
- Masalah: Kegagalan konfigurasi pada Spring Security yang menyebabkan hilangnya pemeriksaan autentikasi.
- Dampak: Penyerang tanpa kredensial dapat mengunggah konfigurasi berbahaya dan melakukan injeksi kode. Hal ini memungkinkan eksekusi kode sisi server secara arbitrer (arbitrary code execution), yang memberikan kontrol penuh kepada penyerang atas aplikasi.
- CVE-2026-34260 (SAP S/4HANA): Injeksi SQL (SQLi)
- Masalah: Aplikasi menggabungkan input pengguna secara langsung ke dalam kueri SQL tanpa validasi atau sanitasi yang memadai.
- Dampak: Penyerang dengan hak akses dasar dapat menyuntikkan pernyataan SQL berbahaya. Jika berhasil, penyerang dapat mengakses informasi sensitif di database atau bahkan memicu kegagalan sistem (crash).
Ringkasan Pembaruan Keamanan Mei 2026
Selain dua celah kritis di atas, SAP juga menambal:
- 1 Kerentanan Tingkat Tinggi.
- 11 Kerentanan Tingkat Menengah, yang mencakup masalah Command Injection, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), dan Denial-of-Service (DoS).
Konteks Ancaman: Target Utama Ransomware
Meskipun SAP menyatakan belum ada bukti eksploitasi aktif untuk celah Mei 2026 ini, sejarah menunjukkan bahwa sistem SAP adalah target empuk bagi aktor ancaman tingkat tinggi.
- Katalog CISA: CISA telah memasukkan 14 kerentanan SAP ke dalam katalog Known Exploited Vulnerabilities dalam beberapa tahun terakhir.
- Serangan Ransomware: Dua dari celah tersebut diketahui pernah disalahgunakan dalam serangan ransomware besar.
- Serangan Rantai Pasok: Baru-baru ini, beberapa paket resmi SAP di repositori npm dikompromikan untuk mencuri kredensial dan token autentikasi milik para pengembang.
Rekomendasi Tindakan
Bagi administrator sistem dan tim IT yang mengelola infrastruktur berbasis SAP, sangat disarankan untuk:
- Segera menerapkan patch keamanan yang tersedia di portal dukungan SAP.
- Melakukan audit konfigurasi pada modul Spring Security di lingkungan Commerce Cloud.
- Memastikan seluruh input pengguna pada aplikasi kustom di S/4HANA telah melalui proses sanitasi yang ketat untuk mencegah SQLi.