Chyba v komponentě pro zpracování takzvaného rozšířeného pasu umožňuje útočníkovi bez jakéhokoliv ověření ovládnout systém SAP s právy jeho administrátora.

SAP opravil zranitelnost s označením OVERPASS, evidovanou jako CVE-2026-44756, která dosáhla nejvyššího možného hodnocení závažnosti CVSS 10,0. Chyba se nachází v komponentě SAP Extended Passport Processing přímo v jádru systému a vzniká nedostatečnou validací hranic dat při deserializaci takzvaného rozšířeného pasu (Extended Passport, EPP) – vnitřního mechanismu, kterým si jednotlivé části SAP systému mezi sebou předávají kontext požadavku. Chybná validace vede k narušení bezpečnosti paměti, které útočník bez nutnosti jakéhokoliv ověření dokáže využít ke vzdálenému spuštění příkazů operačního systému, a to rovnou s právy administrátora SAP.

Rozsah možného zneužití je tím širší, že takto získaný přístup umožňuje nejen spouštět libovolné příkazy, ale také číst bezpečně uložené přihlašovací údaje k databázím a dalším propojeným systémům, sáhnout na data aktivních uživatelských relací a upravovat konfiguraci i samotné binární soubory instalace SAP. Ve stejné aktualizaci SAP opravil i druhou závažnou chybu, CVE-2026-58240 s hodnocením CVSS 9,8, nazvanou S4GET – jde o chybějící ověření v komponentě SAP NetWeaver Message Server, které umožňuje provádět neautorizované akce bez nutnosti přihlášení.

Bezpečnostní firma Onapsis, specializující se na ochranu SAP prostředí, doporučuje organizacím provést okamžitou inventuru svých instalací a při nasazování oprav postupovat od systémů dostupných z internetu směrem k interním instancím – tedy nejdřív záplatovat to, co je vystaveno největšímu riziku, a teprve poté pokračovat dovnitř sítě. Souběžně s tím doporučuje snížit expozici zranitelných komponent tam, kde okamžitá aktualizace není možná, a sledovat provoz na možné pokusy o zneužití.