Celah SAP Dapat Skor Bahaya Maksimal 10/10, Lebih dari 10.000 Server Internet Berpotensi Terpapar

KEBONCINTA.COM – Selasa, 8 September 2026 – Administrator perusahaan yang menggunakan sistem SAP mendapatkan peringatan keamanan penting setelah ditemukan celah dengan tingkat keparahan maksimum.

Kerentanan tersebut mempunyai skor CVSS 10 dari maksimal 10.

Celah diberi kode CVE-2026-44756 dan dijuluki OVERPASS oleh tim peneliti keamanan Onapsis yang menemukannya.

SAP telah menyediakan pembaruan keamanan sebagai bagian dari Security Patch Day September 2026 dan meminta pelanggan memprioritaskan pemasangan patch.

OVERPASS merupakan masalah memory corruption pada pemrosesan Extended Passport Protocol atau EPP di SAP.

EPP merupakan bagian yang digunakan dalam berbagai proses sistem SAP.

Kesalahan dalam pemrosesan data dapat menyebabkan kondisi buffer overflow.

Dalam skenario serangan yang berhasil, penyerang dengan hak akses rendah berpotensi menjalankan perintah dengan hak administratif pada sistem yang rentan.

Dampaknya dapat sangat besar.

Penyerang dapat mengambil alih proses SAP sekaligus memperoleh akses terhadap data bisnis yang berada di sistem.

SAP digunakan oleh banyak perusahaan besar untuk menjalankan fungsi yang sangat penting.

Sistem dapat menangani keuangan, inventory, manufaktur, sumber daya manusia, rantai pasokan hingga proses transaksi lainnya.

Karena itu kompromi terhadap server SAP bukan sekadar masalah satu komputer.

Gangguan dapat mempunyai dampak langsung terhadap proses bisnis perusahaan.

BleepingComputer melaporkan kelemahan dapat dijangkau melalui SAP Internet Communication Manager atau ICM.

ICM merupakan komponen jaringan pada SAP Application Server yang menghubungkan sistem SAP dengan layanan jaringan seperti HTTP dan HTTPS.

Onapsis memperkirakan lebih dari 10.000 alamat IP unik yang terhubung langsung ke internet menampilkan antarmuka SAP yang menggunakan komponen rentan.

Jumlah sebenarnya dapat lebih besar.

Peneliti mengatakan perhitungan tersebut hanya mencakup sistem yang dapat dikenali dengan tingkat kepastian tinggi melalui pemindaian publik.

Beberapa SAP Web Dispatcher dapat menyembunyikan karakteristik backend sehingga tidak mudah diketahui melalui pemindaian internet.

Karena itu jumlah sistem yang membutuhkan perhatian berpotensi melampaui angka 10.000.

SAP sendiri mencatat CVE-2026-44756 dengan skor CVSS 10.0 dan status Critical.

Dalam Security Patch Day pada 8 September, SAP merilis 19 security note baru serta satu pembaruan terhadap note yang sebelumnya sudah diterbitkan.

OVERPASS menjadi kerentanan dengan skor paling tinggi dalam kumpulan patch tersebut.

Namun administrator tidak hanya perlu memperhatikan satu celah.

SAP juga memperbaiki CVE-2026-58240 yang mendapatkan skor CVSS 9,8.

Celah tersebut berkaitan dengan missing authentication check pada SAP NetWeaver Message Server.

Onapsis menjulukinya S4GET.

Menurut peneliti, kelemahan tersebut dapat memungkinkan penyerang yang tidak memiliki autentikasi memperoleh akses terhadap cluster SAP dan menjalankan perintah dalam kondisi tertentu.

Masalah menjadi penting karena layanan Message Server digunakan oleh client SAP dalam aktivitas normal.

Dengan demikian administrator tidak dapat menganggap solusi terbaik sekadar memblokir seluruh port tanpa mempertimbangkan dampaknya terhadap fungsi sistem.

Pendekatan yang direkomendasikan tetap memasang pembaruan keamanan resmi.

SAP secara eksplisit meminta pelanggan mengunjungi support portal dan menerapkan patch dengan prioritas tinggi untuk melindungi landscape SAP.

Perusahaan yang menggunakan versi terdampak perlu memeriksa security note yang sesuai dengan lingkungan mereka.

Administrator juga perlu memahami bahwa server SAP tidak selalu dapat diperbarui seperti komputer pribadi.

Lingkungan enterprise sering mempunyai berbagai integrasi.

Sebuah perusahaan dapat mempunyai software keuangan, gudang, database dan aplikasi internal yang semuanya terhubung.

Patch harus diuji untuk memastikan proses bisnis tetap berjalan.

Namun untuk kerentanan dengan skor maksimum, proses pengujian tersebut perlu dilakukan secepat mungkin.

Menunda pembaruan terlalu lama dapat memberikan waktu bagi penyerang untuk mempelajari detail celah.

Fenomena tersebut sering terjadi setelah patch keamanan diterbitkan.

Peneliti dan pelaku ancaman dapat membandingkan software versi lama dengan versi baru.

Perubahan kode memberikan petunjuk mengenai bagian yang diperbaiki.

Dari sana, pihak lain berpotensi mencoba mengembangkan exploit sendiri.

Karena itu periode setelah pengumuman kerentanan kritis menjadi waktu yang sangat penting.

Server yang terbuka langsung ke internet perlu mendapatkan perhatian terlebih dahulu.

Administrator dapat melakukan inventarisasi untuk memastikan tidak ada sistem SAP lama yang terlupakan tetapi masih dapat diakses publik.

Fenomena shadow IT atau server lama yang tidak tercatat sering meningkatkan risiko keamanan.

Server dapat dibuat bertahun-tahun sebelumnya untuk sebuah proyek.

Setelah proyek selesai, server tidak digunakan secara aktif tetapi tidak pernah benar-benar dimatikan.

Jika masih mempunyai akses internet dan software lama, perangkat seperti itu dapat menjadi target mudah.

Selain memperbarui sistem, perusahaan sebaiknya memeriksa log dan aktivitas administratif.

Perubahan akun yang tidak dikenal, login dari lokasi tidak biasa maupun aktivitas sistem yang tidak sesuai jadwal perlu diperiksa.

Backup juga harus tersedia dan diuji secara berkala.

Backup yang hanya dibuat tetapi tidak pernah diuji proses pemulihannya belum tentu dapat membantu ketika insiden benar-benar terjadi.

Segmentasi jaringan juga menjadi penting.

Server SAP yang sangat kritis sebaiknya tidak mempunyai akses bebas menuju seluruh sistem perusahaan.

Jika satu server berhasil diambil alih, segmentasi dapat membatasi kemampuan penyerang bergerak ke lingkungan lainnya.

Administrator juga perlu mengurangi akses langsung dari internet apabila memang tidak diperlukan.

Penggunaan VPN, gateway atau mekanisme akses terkontrol dapat memperkecil permukaan serangan.

Namun konfigurasi tambahan bukan pengganti patch.

CVE-2026-44756 berada pada komponen inti dan SAP sendiri sudah memberikan pembaruan resmi.

Peringatan kali ini memperlihatkan tantangan menjaga software enterprise.

Banyak sistem penting perusahaan berjalan selama bertahun-tahun bahkan puluhan tahun.

Software tidak dapat selalu diganti dengan mudah karena terhubung dengan proses bisnis yang sangat kompleks.

Akibatnya patch keamanan menjadi salah satu bagian terpenting dalam mempertahankan sistem.

SAP mempunyai basis pelanggan yang sangat besar.

BleepingComputer mencatat perusahaan menyediakan layanan kepada 99 dari 100 perusahaan terbesar dunia.

Karena itu satu kelemahan serius pada komponen yang banyak digunakan dapat mempunyai dampak global.

Belum berarti seluruh server SAP otomatis berhasil diretas.

Namun skor CVSS 10 dan potensi akses administratif membuat OVERPASS menjadi kerentanan yang tidak sebaiknya diabaikan.

Bagi perusahaan yang menggunakan SAP, prioritas sekarang sederhana: identifikasi versi yang digunakan, periksa apakah termasuk produk terdampak dan terapkan security note resmi secepat mungkin sesuai prosedur perusahaan.