SAP закрыла уязвимость на 10 баллов, но российский бизнес без патча

SAP выпустила патч для критической уязвимости OVERPASS (CVE-2026-44756) с максимальной оценкой 10 баллов по CVSS, доступный с 8 сентября. Ошибка в коде ядра при обработке Extended Passport позволяет удалённому злоумышленнику без аутентификации выполнять команды операционной системы и получить полный контроль над инфраструктурой.

Для российских компаний проблема в том, что SAP прекратила официальную поддержку в конце 2023 года — сотни отечественных предприятий продолжают использовать продукты вендора, но не имеют доступа к обновлениям и базе SAP Notes. Исследователи Onapsis обнаружили свыше 10 000 уникальных IP-адресов с доступными из интернета веб-интерфейсами SAP, уязвимыми для эксплуатации.