SAP Peringatkan Kerentanan Kernel OVERPASS dengan Tingkat Keparahan Maksimum
SAP memperbaiki 20 kerentanan keamanan dalam pembaruan keamanan September 2026, termasuk sebuah celah memory corruption dengan tingkat keparahan maksimum yang ditemukan pada kode SAP Kernel.
Kerentanan tersebut dilacak sebagai CVE-2026-44756 dan diberi nama OVERPASS oleh peneliti keamanan Onapsis yang menemukan serta melaporkannya kepada SAP.
OVERPASS berasal dari kelemahan classic buffer overflow pada library pemrosesan Extended Passport Protocol (EPP). Jika berhasil dieksploitasi, penyerang yang tidak memiliki hak istimewa dapat menjalankan perintah arbitrer pada host SAP dengan hak administratif.
Kondisi tersebut dapat berujung pada kompromi penuh terhadap proses SAP dan data bisnis yang berada di dalam sistem.
OVERPASS dapat dieksploitasi melalui SAP Internet Communication Manager
Salah satu aspek yang membuat CVE-2026-44756 sangat berbahaya adalah jalur eksploitasi yang tersedia melalui SAP Internet Communication Manager (ICM).
ICM merupakan komponen jaringan pada SAP Application Server yang menghubungkan sistem SAP, termasuk SAP NetWeaver Application Server, ke Internet melalui protokol seperti HTTP, HTTPS, dan SMTP.
Artinya, sistem SAP yang mengekspos komponen tersebut ke Internet berpotensi menjadi target serangan apabila menjalankan versi yang rentan.
Onapsis memperkirakan terdapat lebih dari 10.000 sistem SAP yang terhubung langsung ke Internet dan menggunakan komponen yang terdampak.
CTO Onapsis, JP Perez-Etchegoyen, mengatakan angka tersebut bahkan kemungkinan masih konservatif. Pencarian menggunakan fingerprint dengan tingkat akurasi tinggi menemukan lebih dari 10.000 alamat IP unik yang menampilkan antarmuka web SAP dan dapat dijangkau dari Internet publik.
Jumlah sebenarnya dapat lebih besar karena sistem yang menggunakan SAP Web Dispatcher lebih sulit diidentifikasi oleh pemindaian Internet secara umum. Komponen tersebut bertindak sebagai proxy untuk backend SAP dan tidak selalu memberikan banner SAP yang dapat digunakan untuk mengidentifikasi sistem dari halaman root.
Dengan demikian, jumlah sistem yang terpapar di Internet kemungkinan lebih tinggi daripada angka yang berhasil ditemukan melalui pemindaian.
S4GET juga mengancam SAP NetWeaver Message Server
Dalam pembaruan keamanan yang sama, SAP juga memperbaiki kerentanan kritis lain, yaitu CVE-2026-58240 pada SAP NetWeaver Message Server.
Kerentanan tersebut diberi nama S4GET oleh Onapsis Research Labs dan disebabkan oleh masalah missing authentication.
Berbeda dengan OVERPASS yang berkaitan dengan memory corruption, S4GET memungkinkan penyerang yang tidak terautentikasi mengakses seluruh cluster sistem SAP dan menjalankan payload berbahaya maupun perintah arbitrer secara remote melalui jaringan.
Menurut peneliti Onapsis, eksploitasi S4GET tidak memerlukan kredensial, sertifikat, ataupun kesalahan konfigurasi sebelumnya.
Salah satu faktor yang membuat kerentanan ini sulit ditangani melalui firewall adalah jalur serangannya menggunakan port publik yang juga digunakan oleh klien SAP GUI untuk melakukan login. Memblokir port tersebut secara langsung dapat menyebabkan pengguna tidak lagi dapat masuk ke sistem.
Jika eksploitasi berhasil, penyerang dapat memperoleh remote code execution sebagai <sid>adm, yaitu akun level sistem operasi yang menjalankan SAP pada setiap application server dalam cluster.
SAP sebelumnya juga menghadapi serangan terhadap kerentanan kritis
OVERPASS dan S4GET bukan satu-satunya masalah keamanan serius yang dihadapi SAP dalam beberapa waktu terakhir.
Pada Agustus 2026, SAP memperbaiki kerentanan dengan tingkat keparahan maksimum pada SAP Commerce Cloud, yang dilacak sebagai CVE-2026-58231.
Beberapa hari setelah patch dirilis, perusahaan threat intelligence Defused melaporkan bahwa kerentanan tersebut telah mulai dimanfaatkan dalam serangan.
Riwayat ini menunjukkan bahwa kerentanan SAP dengan tingkat keparahan tinggi dapat menjadi target menarik bagi kelompok penyerang setelah informasi teknis atau patch tersedia untuk publik.
Berdasarkan data U.S. Cybersecurity and Infrastructure Security Agency (CISA), sejak November 2021 sebanyak 14 kerentanan SAP telah dimasukkan ke dalam Known Exploited Vulnerabilities (KEV) Catalog. Tiga di antaranya diketahui telah dimanfaatkan oleh kelompok ransomware.
Administrator SAP disarankan segera memasang pembaruan
Dengan banyaknya sistem SAP yang dapat diakses melalui Internet dan adanya riwayat eksploitasi terhadap kerentanan SAP sebelumnya, administrator perlu memberikan prioritas tinggi terhadap pembaruan keamanan September 2026.
Dua celah yang menjadi perhatian utama adalah CVE-2026-44756 (OVERPASS) pada SAP Kernel dan CVE-2026-58240 (S4GET) pada SAP NetWeaver Message Server.
Risikonya tidak hanya berkaitan dengan gangguan terhadap aplikasi SAP. Eksploitasi yang berhasil dapat memberikan penyerang kemampuan menjalankan perintah dengan hak tinggi, mengakses proses SAP, dan berpotensi memperoleh akses terhadap data bisnis yang diproses oleh sistem.
Untuk organisasi yang mengoperasikan SAP dengan komponen yang terhubung ke Internet, pemeriksaan versi, penerapan security notes terbaru, serta pemantauan aktivitas mencurigakan menjadi langkah penting untuk mengurangi risiko sebelum kerentanan tersebut dimanfaatkan secara lebih luas.
Sumber: SAP
