CVE-2026-66768: Kritisk fejl i SAP GUI for Java

SAP GUI for Java er det klientprogram, mange medarbejdere bruger til at logge ind på SAP-systemer som ERP eller S/4HANA. Programmet har en indbygget tillidsniveau-politik, der styrer hvilke funktioner et forbundet SAP-system må bede klienten om at udføre. I den ramte version håndhæves den politik ikke korrekt for bestemte funktioner. Det betyder, at et SAP-system, som en angriber har adgang til eller har manipuleret, kan kalde funktioner, det ikke burde have adgang til, og dermed få klienten til at afvikle vilkårlige kommandoer på brugerens maskine.

Sårbarheden rammer virksomheder og kommuner, der bruger SAP GUI for Java til at tilgå SAP-systemer. Det omfatter både organisationer med egne SAP-servere og dem, der bruger hostede SAP-løsninger. NVD-oplysningerne angiver ikke konkrete versionsnumre, så I skal tjekke jeres installerede version af SAP GUI for Java op mod SAP’s egen sikkerhedsmeddelelse for CVE-2026-66768 for at se, om I er berørt.

En angriber, der har lavt privilegeret adgang til et forbundet SAP-system, eller som har kompromitteret et sådant system, kan udnytte fejlen til at få kommandoer afviklet på en medarbejders computer, når vedkommende udfører en handling i SAP GUI. I praksis kan det føre til, at angriberen får fuld kontrol over medarbejderens maskine, stjæler adgangskoder og bruger den som springbræt videre ind i virksomhedens netværk.

CVSS-scoren er 9,0 ud af 10, hvilket er kritisk. Angrebet kræver, at angriberen allerede har en lavt privilegeret adgang til et forbundet SAP-system, og det kræver, at en bruger foretager en handling i SAP GUI, før koden udføres. Der skal altså ikke bruges brugerens egne SAP-adgangskoder, men der skal en form for brugerinteraktion til. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes, men den lave angrebskompleksitet og den høje konsekvens for fortrolighed, integritet og tilgængelighed gør det til en sag, der bør prioriteres.

Gør følgende for at lukke sårbarheden og begrænse risikoen, mens I opdaterer:

1. Installér den rettede version af SAP GUI for Java, som SAP har frigivet i den tilhørende sikkerhedsmeddelelse for CVE-2026-66768.
2. Gennemgå, hvilke medarbejdere og systemer der har SAP GUI for Java installeret, og prioritér dem, der har forbindelse til flere eller eksterne SAP-backends.
3. Begræns, hvilke SAP-systemer og brugere der kan sende data eller funktionskald til klienter via SAP GUI, indtil opdateringen er gennemført.
4. Informér medarbejdere om ikke at udføre uventede handlinger eller acceptere uventede pop op-vinduer i SAP GUI, før opdateringen er på plads.
5. Log og overvåg usædvanlig aktivitet fra SAP-backends mod klientmaskiner i perioden frem til opdateringen.
6. Hent hjælp udefra, hvis I ikke selv har SAP-basis-kompetencer til at vurdere og udrulle SAP’s sikkerhedsmeddelelse korrekt.