补丁日：2026年10月

本月摘要

2026 年 10 月补丁日（10 月 13 日）共发布 22 项：16 条新的 SAP 安全说明、4 条针对 SAP 开源库的 GitHub 安全公告，以及 2 条更新。其中 4 项为“严重”，最高的是 SAP Cloud SDK for Python 中 CVSS 10.0 的 SSRF 漏洞，其次是 SAP NetWeaver Visual Composer 和 SAP S/4HANA 中两个 9.9 分的漏洞。截至 CISA KEV 目录 2026 年 10 月 16 日版本，本月的 CVE 均未被列入。

按优先级：严重 4 项、高 3 项、中 14 项、低 1 项。大部分“中”级说明是 SAP NetWeaver Enterprise Portal、SAPUI5 和 ABAP 技术栈中的跨站脚本（XSS）与缺失授权检查修复。

Visual Composer 值得额外关注：CISA 于 2025 年列入 KEV 目录的两个 SAP CVE（CVE-2025-31324 和 CVE-2025-42999，对应安全说明 3594142 和 3604119）位于 SAP NetWeaver Visual Composer 开发服务器。本月的安全说明 3797111（CVE-2026-89110，CVSS 9.9）是 SAP NetWeaver Visual Composer（VC70RUNTIME 7.50）中的访问控制缺陷。

4 条 GitHub 安全公告中有 3 条针对开发工具和库（cla-assistant、yeoman-ui、cloud-security-services-integration-library），需要通过升级相应软件包修复，而不是应用 SAP 安全说明。

优先修补

排序依据：是否已知被利用（CISA KEV），其次是 SAP 优先级，再次是 CVSS 分数。仅供分诊参考，不能替代您自己的风险评估。

1. 1
   3797111严重CVSS 9.9

   Broken Access Control in SAP NetWeaver Visual Composer

   CVSS 9.9，低权限即可经网络利用（AV:N/PR:L），位于 SAP NetWeaver Visual Composer；2025 年有两个 Visual Composer CVE 被列入 CISA KEV。

2. 2
   3805589严重CVSS 9.9

   Code Injection vulnerability in SAP S/4HANA (Manage Substitution/Validation Rules)

   S/4HANA（S4CORE 105–109）中 CVSS 9.9 的代码注入，影响核心 ERP 系统。

3. 3
   GHSA-4mv3-jxxm-9cx2严重CVSS 10.0

   OAuth2 SSRF vulnerability in SAP Cloud SDK for Python

   CVSS 10.0，无需认证的 SSRF。如使用 SAP Cloud SDK for Python，请升级到 0.45.2 或更高版本。

4. 4
   3798788严重CVSS 9.1

   Missing Authorization check in SAP Manufacturing Integration and Intelligence (Configuration Service)

   SAP MII 配置服务（XMII 15.4、15.5）中 CVSS 9.1 的缺失授权检查。

5. 5
   3765424高CVSS 7.5

   Memory Corruption vulnerability in SAP NetWeaver and SAP Web Dispatcher (Internet Communication Manager)

   CVSS 7.5，ICM 中无需认证的内存破坏漏洞；ICM 也内置于 SAP Web Dispatcher，后者常暴露在互联网上。