觀點 · 資訊分享

SAP 9 月資安修補日：19 則新通告、4 個嚴重漏洞，最高 CVSS 10.0 出在 ABAP 核心元件

SAP 在 9 月 8 日的月度修補日發布 19 則新的安全通告，其中 4 個列為嚴重（Critical），最高 CVSS 10.0。用 SAP 的企業與用 CAP 函式庫開發多租戶應用的團隊要盡快檢視。

一句話看懂：SAP 在 9 月 8 日的月度修補日發布 19 則新的安全通告，其中 4 個嚴重漏洞，最高 CVSS 10.0，用 SAP 的企業要盡快對照自己的版本。

SAP 9 月資安修補日資訊圖卡：19 則新通告、4 個嚴重漏洞，最高 CVSS 10.0，用 SAP 的企業要盡快檢視

先用白話講：SAP 修補日是什麼？

SAP 是很多大公司用來管理財務、庫存、生產與人事的企業系統，可以想成公司的「帳房兼倉庫兼人事部」。這套系統一旦出事，影響的往往是整個公司的營運。

SAP 每個月固定一天集中公布安全通告，叫做資安修補日，讓企業的 IT 部門可以提前排時間更新，就像手機每月的安全更新。這個月的修補日是 9 月 8 日。

SAP 在 9 月 8 日發布 19 則新的安全通告，另外更新了 1 則先前的通告。其中有 4 個被列為嚴重（Critical）：

CVSS	漏洞	影響
10.0	CVE-2026-44756：Extended Passport（EPP）處理的記憶體損毀	ABAP 平台使用的 Kernel 7.22 到 9.20 等多個版本
9.8	CVE-2026-58240：NetWeaver 訊息伺服器缺少驗證檢查	Kernel 9.16、9.18、9.19、9.20
9.4	CVE-2026-76969：使用 CAP 函式庫的多租戶應用可能洩漏憑證	sap/cds-mtxs 1.18.3 以下、2.7.6 以下、3.9.6 以下、4.0.2 以下
9.0	CVE-2026-66768：SAP GUI for Java 存取控制不當	BC-FES-JAV 8.10

SAP 官方頁面沒有進一步說明攻擊條件。這些細節，要登入 SAP 支援入口網站看各通告。

CAP 函式庫：官方列出的受影響版本是 sap/cds-mtxs 的 1.18.3 以下、2.7.6 以下、3.9.6 以下、4.0.2 以下。可以在專案裡檢查目前安裝的版本：

npm ls @sap/cds-mtxs

我不是 SAP 的使用者，這則新聞對我自己的接案專案直接影響不大。但是 SAP 這類企業系統有幾個共通的特點：版本很多條線、更新牽動整個營運流程，所以企業常常拖很久才修補。對攻擊者來說，最高分漏洞公開後，到有人開始掃描目標的時間往往很短。

如果你是幫企業客戶做整合的人（例如串 SAP 的 API 或用 CAP 開發），我的建議是：每月修補日當天就排一次「對照版本」的動作，哪怕實際更新要晚一點，至少要知道自己有沒有落在受影響範圍內。

SAP 修補日是什麼？

SAP 每月固定的一天（通常是每月第二個星期二）集中發布安全通告，讓企業能預先排定修補時程，類似微軟的 Patch Tuesday。這次是 2026 年 9 月 8 日。

最嚴重的漏洞是哪一個？

SAP 列出的最高分是 CVSS 10.0，編號 CVE-2026-44756，是 SAP Extended Passport（EPP）處理的記憶體損毀漏洞。官方摘要沒有寫攻擊條件，細節在需登入的安全通告 3747649 裡。

沒有用 SAP 的人需要擔心嗎？

多數個人與小型網站不會直接受影響。但如果你的專案用到 SAP Cloud Application Programming Model（CAP）的 cds-mtxs 函式庫做多租戶應用，要檢查版本是否落在公告列出的受影響範圍內。

要去哪裡看修補細節？

每則通告都有編號（例如 3747649）。SAP 官方頁面只列出摘要，完整內容要登入 SAP 支援入口網站（Support Portal）查看。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。