SAP Peringatkan Kerentanan Keamanan OAuth2 SSRF Berstatus Maximum Severity pada Cloud SDK
SAP resmi merilis pembaruan keamanan periode Oktober 2026 untuk menutup 20 celah keamanan di berbagai lini produknya. Fokus utama pada pembaruan kali ini tertuju pada perbaikan kerentanan berstatus maximum-severity yang ditemukan pada komponen Cloud SDK for Python.
Sebagai informasi, SAP Python SDK merupakan programmatic toolkit resmi yang digunakan oleh para pengembang untuk membangun AI agent serta aplikasi berbasis Python di atas layanan SAP Business Technology Platform (BTP). Celah keamanan yang dilacak dengan kode identifikasi CVE-2026-89111 ini memungkinkan penyerang jarak jauh (remote attacker) tanpa hak akses khusus (unprivileged) untuk mencuri kredensial sensitif dari sistem yang rentan.
Berdasarkan detail teknis dalam laporan keamanan resmi yang dirilis pada hari Selasa, SAP Cloud SDK for Python menyimpan kerentanan Server-Side Request Forgery (SSRF) pada implementasi OAuth2 yang berdampak pada aplikasi BTP multi-tenant. Penyerang yang berhasil memanipulasi parameter tenant_subdomain dapat mengalihkan permintaan token OAuth2 ke server milik penyerang, sehingga memicu terjadinya eksfiltrasi kredensial klien secara langsung.
Bagi pengguna maupun administrator sistem yang belum dapat segera mengimplementasikan patch keamanan Oktober 2026, langkah mitigasi sementara dapat dilakukan pada sisi aplikasi konsumen. Pengembang disarankan untuk menerapkan sistem allowlist guna memvalidasi nilai tenant_subdomain terhadap daftar subdomain tenant sah yang telah terdaftar sebelum meneruskan parameter tersebut ke pemanggilan fungsi SDK mana pun.
Perbaikan Celah Kritis pada NetWeaver dan Manufacturing Integration
Selain menambal celah SSRF pada Cloud SDK, pembaruan keamanan bulan ini turut mengatasi sejumlah kerentanan kritis lainnya. Salah satunya adalah CVE-2026-89110, sebuah celah broken access control kritis pada SAP NetWeaver Visual Composer. Kerentanan ini berpotensi dimanfaatkan oleh penyerang jarak jauh yang hanya memiliki hak akses terbatas untuk mengambil alih dan mengompromikan sistem secara penuh.
Perbaikan krusial berikutnya ditujukan untuk menutup celah CVE-2026-89108 pada komponen SAP Manufacturing Integration and Intelligence (MII). Kerentanan ini memungkinkan threat actor yang telah mengantongi hak akses tingkat administrator untuk mengambil alih kendali penuh atas sistem di bawahnya (underlying system) melalui pembuatan akun dengan hak akses tinggi (elevated-privilege account) pada aplikasi Java yang mendasarinya.
Rentetan Eksploitasi Celah Keamanan SAP dalam Beberapa Bulan Terakhir
Temuan di bulan Oktober ini memperpanjang daftar kerentanan berstatus maximum-severity yang harus ditangani oleh perusahaan perangkat lunak multinasional asal Jerman tersebut dalam beberapa bulan terakhir. Pada Agustus lalu, SAP telah menambal celah CVE-2026-58231 pada platform e-commerce berbasis cloud miliknya, Commerce Cloud. Hanya berselang beberapa hari setelah perbaikan dirilis, firma threat intelligence Defused mendeteksi bahwa celah tersebut telah dieksploitasi secara aktif dalam serangan siber.
Selanjutnya pada bulan September, SAP juga memperbaiki kerentanan memory corruption dengan kode CVE-2026-44756 pada baris kode SAP Kernel. Celah yang dijuluki OVERPASS oleh tim peneliti keamanan dari Onapsis ini dinilai sangat berisiko. Berdasarkan estimasi Onapsis saat itu, terdapat lebih dari 10.000 sistem SAP yang terhubung langsung ke internet (Internet-facing) yang menggunakan komponen rentan tersebut dan berisiko tinggi menjadi sasaran eksploitasi.
Tingginya tingkat ancaman terhadap infrastruktur korporasi ini turut menjadi perhatian lembaga keamanan siber Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA). Sejak November 2021, CISA tercatat telah memasukkan 14 celah keamanan SAP ke dalam katalog kerentanan yang dieksploitasi secara aktif (Known Exploited Vulnerabilities), di mana tiga di antaranya terbukti telah disalahgunakan dalam berbagai operasi serangan ransomware. Mengingat sistem SAP saat ini menopang operasional 99 dari 100 perusahaan terbesar di dunia dengan catatan pendapatan melampaui €36 miliar pada tahun fiskal 2025, penerapan patch secara berkala menjadi langkah mutlak bagi para administrator infrastruktur IT.
Sumber: SAP Security Patch Day Advisory
