平台
sap
组件
sap-business-planning-and-consolidation
修复版本
810.0.1
4.0.1
750.0.1
752.0.1
753.0.1
754.0.1
755.0.1
756.0.1
757.0.1
758.0.1
816.0.1
CVE-2026-27681 是 SAP Business Planning and Consolidation 和 SAP Business Warehouse 中的 SQL 注入漏洞。由于权限检查不足，经过身份验证的用户可以执行精心构造的 SQL 语句，从而访问数据库。此漏洞可能导致敏感数据泄露、数据损坏，甚至系统不可用。受影响的版本包括 8.10–SAP_BW 750。建议尽快应用官方补丁。
该 SQL 注入漏洞允许攻击者绕过身份验证机制，直接与数据库交互。攻击者可以利用此漏洞读取、修改甚至删除数据库中的敏感数据，例如财务记录、客户信息和业务计划。更严重的是，攻击者可能利用此漏洞执行任意代码，从而完全控制受影响的系统。由于 SAP 系统通常用于存储关键业务数据，因此该漏洞的潜在影响非常大，可能导致严重的财务损失、声誉损害和法律责任。攻击者可以利用此漏洞进行数据盗窃、勒索和破坏活动，甚至可能利用受影响的系统作为跳板攻击其他系统。
该漏洞已公开披露，且 CVSS 评分为 9.9 (CRITICAL)，表明其风险极高。目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易于利用性，预计未来可能会出现利用案例。建议密切关注安全社区的动态，并及时采取应对措施。该漏洞可能被添加到 CISA KEV 目录中，以提醒组织注意其风险。
Organizations heavily reliant on SAP Business Planning and Consolidation and SAP Business Warehouse for financial planning, budgeting, and supply chain management are particularly at risk. Companies with legacy SAP deployments or those that have not implemented robust security controls are also more vulnerable. Shared hosting environments where multiple tenants share the same SAP instance should be carefully reviewed for potential cross-tenant exploitation.
• sap: Use SAP Solution Manager to check for missing security patches and identify affected systems.
• linux / server: Monitor SAP application logs for unusual SQL queries or error messages indicating potential injection attempts. Use journalctl -u <sapservicename> to filter for relevant log entries.
• generic web: Monitor web application firewall logs for SQL injection patterns targeting SAP endpoints. Use curl -v <sap_endpoint> to test for unexpected behavior and potential injection points.
disclosure
漏洞利用状态
EPSS
0.05% (16% 百分位)
CISA SSVC
CVSS 向量
SAP 官方已发布补丁以修复此漏洞。建议立即升级到包含修复程序的最新版本。如果无法立即升级，可以考虑以下缓解措施：限制对数据库的访问权限，仅允许授权用户访问必要的数据。实施严格的输入验证和参数化查询，以防止 SQL 注入攻击。使用 Web 应用防火墙 (WAF) 过滤恶意 SQL 语句。定期审查 SAP 系统的安全配置，确保其符合最佳实践。在升级后，请验证补丁是否已成功应用，并确认系统功能是否正常。
应用 SAP 安全补丁 3719353 以缓解 SQL 注入漏洞。此补丁修复了允许执行恶意 SQL 语句的授权检查缺陷，从而保护了系统的机密性、完整性和数据可用性。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-27681 是 SAP Business Planning and Consolidation 中的一个 SQL 注入漏洞，允许攻击者执行恶意 SQL 语句，从而访问和修改数据库数据。
如果您正在使用 SAP Business Planning and Consolidation 8.10–SAP_BW 750 版本，则可能受到影响。请立即检查您的系统并应用补丁。
建议升级到包含修复程序的最新版本。如果无法立即升级，请采取缓解措施，例如限制数据库访问和实施输入验证。
目前尚未观察到大规模的利用活动，但由于漏洞的严重性和易于利用性，预计未来可能会出现利用案例。
请访问 SAP 安全公告网站以获取更多信息：[https://www.sap.com/security/bulletins.html](https://www.sap.com/security/bulletins.html)
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。