Celah OVERPASS bernilai CVSS 10—SAP Kernel perlu diprioritaskan sekarang

SAP merilis perbaikan untuk OVERPASS dalam Patch Day 8 September 2026. Halaman resmi Patch Day September mencatat 19 security note baru dan satu pembaruan; Security Note 3747649 untuk CVE-2026-44756 menempati tingkat Critical dengan skor CVSS 10,0 serta mencakup sejumlah versi SAP Kernel dan Web Dispatcher.

Bagi administrator, prioritasnya adalah mencocokkan release dan patch level seluruh komponen terkait, kemudian menerapkan koreksi dalam Note 3747649 lebih dahulu. Analisis teknis Onapsis menyatakan celah ini dapat dieksploitasi dari jarak jauh tanpa autentikasi melalui beberapa jalur komunikasi, memungkinkan perintah sistem operasi dijalankan dengan hak administratif SAP; pada saat publikasi 8 September, penelitinya belum melihat eksploitasi aktif di dunia nyata.

OVERPASS menjadi prioritas pertama dalam paket September

Skor maksimum bukan satu-satunya dasar untuk mendahulukan OVERPASS. Kerentanan berada dalam kode bersama SAP Kernel yang memproses Extended Passport (EPP) ketika koneksi mulai dibentuk, sebelum pemeriksaan autentikasi dan otorisasi pengguna berlangsung. Karena pemrosesan yang sama dipakai oleh beberapa protokol, menutup satu jalur jaringan tidak menghilangkan seluruh permukaan serangan.

Setelah Note 3747649, ada tiga catatan Critical lain yang perlu ditempatkan dalam antrean menurut produk yang digunakan dan keterpaparan setiap sistem:

• Note 3759472 untuk CVE-2026-58240 pada SAP NetWeaver Message Server, dengan CVSS 9,8.
• Note 3798315 untuk CVE-2026-76969 pada sap/cds-mtxs, dengan CVSS 9,4.
• Note 3781729 untuk CVE-2026-66768 pada SAP GUI for Java, dengan CVSS 9,0.

Pembaruan Note 3772411 dari Patch Day Agustus, bernilai CVSS 8,8, juga perlu dicatat sebagai pekerjaan tersendiri agar tidak tenggelam di antara catatan baru. Urutan setelah OVERPASS tidak dapat ditentukan hanya dari skor: keberadaan produk, jalur akses, fungsi bisnis, dan kontrol jaringan tetap memengaruhi risiko aktual pada setiap lingkungan.

Versi Kernel dan Web Dispatcher yang tercakup

Pencocokan harus dilakukan terhadap jenis komponen dan release, bukan sekadar nama umum “SAP Kernel”. Advisori CERT-EU 2026-011 mencantumkan keluarga versi terdampak dan merekomendasikan penerapan Note 3747649 serta Note 3759472 sesegera mungkin:

• KRNL64NUC: 7.22 dan 7.22EXT.
• KRNL64UC: 7.22, 7.22EXT, 7.53, dan 8.04.
• KERNEL: 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, dan 9.20.
• WEBDISP: 9.16, 9.18, 9.19, dan 9.20.

Daftar release tersebut berfungsi sebagai penyaring awal. Keputusan apakah sebuah instance masih rentan harus mengikuti patch level dan paket koreksi yang dijelaskan dalam Note 3747649; dua host dengan release yang sama dapat berada pada tingkat patch berbeda.

Inventaris juga perlu mencakup Web Dispatcher di perimeter, application server tambahan, lingkungan pemulihan bencana, sistem pengujian yang masih terhubung, serta instance lama yang tetap menerima trafik. Fokus hanya pada sistem produksi yang terlihat dari internet berisiko melewatkan jalur SAP GUI atau RFC pada jaringan internal.

Dampaknya dapat mencapai host dan data bisnis

Akar masalahnya adalah tidak adanya validasi batas yang memadai ketika data EPP dideserialisasi. Permintaan jaringan yang dirancang khusus dengan header EPP rusak dapat memicu perilaku memori yang tidak aman dan penghentian program secara abnormal. Namun, dampak terburuk yang dinilai mungkin jauh melampaui gangguan ketersediaan.

Jika eksploitasi berhasil, penyerang dapat mengambil alih proses penerima dan menjalankan perintah pada host menggunakan akun sistem operasi yang memiliki instalasi SAP. Posisi tersebut dapat membuka akses terhadap proses SAP, konfigurasi, kredensial yang tersimpan, sesi pengguna, dan data bisnis, bergantung pada hak akun serta hubungan ke sistem lain.

Itu adalah konsekuensi teknis dari eksploitasi yang berhasil, bukan bukti bahwa setiap instalasi terdampak telah disusupi. Penilaian kompromi harus didasarkan pada telemetri dan artefak lingkungan organisasi sendiri, bukan pada skor CVSS atau keberadaan release terdampak semata.

Urutan tindakan: inventaris, batasi akses, lalu verifikasi

Triase yang dapat dilacak dimulai dari cakupan teknis dan berakhir pada konfirmasi bahwa setiap instance benar-benar telah diperbarui:

1. Catat KRNL64NUC, KRNL64UC, KERNEL, dan WEBDISP beserta release, patch level, pemilik layanan, fungsi bisnis, serta jaringan yang dapat menjangkaunya.
2. Cocokkan setiap instance dengan Note 3747649 dan dahulukan sistem yang jalur web-nya terbuka ke internet. Sistem internal tetap masuk cakupan karena pemrosesan EPP juga dapat dicapai melalui SAP GUI dan RFC.
3. Kurangi sementara jalur akses yang tidak diperlukan jika arsitektur memungkinkan. Pembatasan protokol hanya memperkecil paparan dan tidak menggantikan patch karena celah yang sama mempunyai beberapa jalur masuk.
4. Terapkan paket koreksi yang sesuai melalui proses perubahan organisasi, kemudian periksa kembali patch level pada setiap instance yang teridentifikasi.
5. Uji jalur komunikasi yang terdampak setelah pembaruan dan pantau penghentian proses abnormal, koneksi tak dikenal, serta perubahan tak terduga pada host selama peluncuran.

Pemisahan antara sistem internet-facing dan internal membantu menentukan urutan pengerjaan, bukan menentukan sistem mana yang boleh diabaikan. Sistem nonproduksi atau lama juga tetap relevan bila menyimpan salinan data, menerima koneksi pengguna, atau memiliki hubungan RFC dengan lingkungan lain.

Detail eksploitasi publik masih dibatasi

Informasi terbuka saat ini menjelaskan akar masalah, jalur akses, versi terdampak, kemungkinan dampak, dan ketersediaan perbaikan. Detail teknis yang dapat langsung membantu pembuatan eksploit sengaja tidak dipublikasikan oleh peneliti dalam proses pengungkapan terkoordinasi.

Dengan demikian, dua status harus dipisahkan: risikonya telah dikonfirmasi sebagai Critical dengan CVSS 10,0 dan perbaikannya telah tersedia, tetapi eksploitasi aktif belum dilaporkan oleh peneliti saat advisori awal diterbitkan. Ketiadaan pengamatan publik bukan bukti bahwa percobaan serangan tidak ada; data berikutnya yang relevan ialah pembaruan Note 3747649, indikator kompromi tervalidasi, atau perubahan status eksploitasi dari pihak yang memiliki telemetri langsung.

Baca juga:

• Apakah AI sedang menjadi gelembung? Lima angka yang perlu diuji
• Thyme Care bernilai di atas US$2 miliar—kini membangun induk baru
• SproutLink menampung puluhan tautan, tetapi pelacakan GA4 tetap perlu dirapikan