SAP retter to kritiske sårbarheter i februaroppdateringen
SAP publiserte sin sikkerhetsoppdatering for februar 2026 den 10. februar, med 26 nye sikkerhetsnotater og én oppdatering av et tidligere notat. To av rettelsene er vurdert som kritiske med CVSS mellom 9.6 og 9.9: en kodeinjeksjonsfeil i skripteditoren i SAP CRM og S/4HANA, og en manglende autorisasjonskontroll i NetWeaver Application Server ABAP. Begge kan la autentiserte angripere utføre vilkårlige handlinger eller eskalere rettigheter. Øvrige høyt prioriterte sårbarheter omfatter NetWeaver, Supply Chain Management, BusinessObjects og Commerce Cloud, med problemer som XML-signaturmanipulasjon, tjenestenekt og manglende autorisasjonskontroller.
Hva det betyr for virksomheten
SAP er som regel systemet som holder økonomi, innkjøp og logistikk i gang, og rettighetseskalering der gir angriperen tilgang til det som betyr mest. Samtidig er SAP-miljøer tunge å oppdatere, og oppdateringene skyves ofte til neste vedlikeholdsvindu. Da bør beslutningen om å vente være dokumentert og tatt av noen med mandat, ikke bli til av seg selv.
Berigo anbefaler
- Sjekk hvilke av de 26 notatene som treffer deres egen SAP-portefølje, og prioriter de to kritiske først.
- Sett en dato for utrulling av de kritiske rettelsene, og dokumenter kompenserende tiltak dersom dere må vente.
- Gjennomgå hvem som har autoriserte roller i SAP CRM, S/4HANA og NetWeaver, siden begge kritiske feil krever autentisering.
- Begrens nettverkstilgangen til SAP-grensesnitt som ikke må være tilgjengelige bredt internt.
Kilde
Sikkerhet som forstås, styres og virker.
La oss hjelpe dere å gjøre sikkerhet til et fortrinn, ikke en kostnad. Ta kontakt for en uforpliktende samtale om hvor virksomheten står, og hva som bør prioriteres først.
Ta kontakt