SAP가 자사 핵심 제품들에서 발견된 다수의 심각한 보안 취약점에 대한 패치를 배포했습니다. 그 중 가장 위험한 CVE-2026-44756은 CVSS 최고점인 10.0을 기록한 취약점으로, SAP 커널의 Extended Passport(EPP) 처리 과정에서 발생하는 메모리 손상 문제입니다. 이 취약점은 로그인 없이 인터넷을 통해 악용할 수 있으며, 공격 성공 시 데이터베이스 비밀번호·세션 데이터·전체 비즈니스 데이터 탈취와 함께 연결된 모든 SAP 시스템으로의 침투가 가능합니다. 특히 SAP의 계정 잠금·권한 통제 같은 기존 보안 설정은 이 공격 경로를 막을 수 없어 즉각적인 패치 적용이 필수입니다. 현재까지 실제 악용 사례는 보고되지 않았으나, 취약점의 심각성으로 인해 인터넷에 노출된 시스템부터 우선 패치할 것이 권고됩니다.
SAP가 2026년 9월 보안 업데이트를 통해 SAP 커널·NetWeaver·CAP 등 주요 제품에서 발견된 CVSS 10.0 포함 4개의 심각한 취약점을 패치했다. 가장 위험한 CVE-2026-44756(코드명 OVERPASS)은 인증 없이 원격에서 운영체제 명령을 실행할 수 있는 커널 수준의 메모리 손상 취약점이다.
공격 성공 시 데이터베이스 자격증명·비밀번호 해시·세션 데이터·전체 비즈니스 데이터 탈취가 가능하고, 탈취한 자격증명으로 연결된 모든 SAP 시스템에 횡이동할 수 있다. CVE-2026-58240(CVSS 9.8)은 S/4HANA 클러스터 내 모든 애플리케이션 서버에 대해 완전한 원격 코드 실행을 허용한다.
CVE-2026-44756은 EPP 데이터 역직렬화(외부에서 받은 데이터를 프로그램이 해석하는 과정) 시 길이 필드의 경계 검증이 누락되어 발생하는 메모리 안전성 위반이다. CVE-2026-58240은 SAP 9.x 커널 라인의 인증 로직 결함(설정 오류가 아닌 코드 자체의 논리 오류)이다.
SAP가 공식 보안 패치를 배포했으며, Onapsis는 모든 SAP 시스템 현황 파악 → 인터넷 노출 시스템 우선 패치 → 노출 최소화 → 악용 시도 모니터링 순서로 대응할 것을 권고했다.
SAP 권한 설정·계정 잠금·역할 제한·Segregation of Duties(SoD, 직무 분리 통제) 등 기존 SAP 내부 보안 통제는 이 취약점에 효과가 없다. 취약 코드가 인증 단계 이전에 실행되므로 패치 전까지는 SAP 애플리케이션 계층에 대한 별도 모니터링이 유일한 대안이다.
본문
Ravie Lakshmanan 2026년 9월 9일 | 취약점 / 엔터프라이즈 보안
SAP가 여러 취약점을 해결하는 보안 업데이트를 배포했습니다. 그 중에는 SAP Extended Passport(EPP) 처리 기능에서 발견된 최고 심각도 결함이 포함되어 있으며, 해당 결함은 애플리케이션의 기밀성·무결성·가용성에 심각한 영향을 미칠 수 있습니다.
CVE-2026-44756(CVSS 점수: 10.0)으로 추적되는 이 취약점은 메모리 손상(memory corruption) 사례로 설명됩니다. SAP 보안 전문 기업 Onapsis가 발견·보고했으며, 코드명은 OVERPASS입니다.
이 결함은 SAP 커널의 Extended Passport(EPP) 처리 과정에 존재하며, 인증 없이 원격으로 악용할 수 있습니다. 공격자는 SAP 관리자 권한으로 SAP 호스트에서 임의의 운영체제 명령을 실행할 수 있으며, 이는 기반이 되는 SAP 비즈니스 데이터와 프로세스 전체의 완전한 침해로 이어집니다.
CVE-2026-44756은 EPP 데이터 역직렬화 과정에서 경계 검증이 누락되어, 외부에서 공급된 길이 필드를 처리할 때 메모리 안전성 위반이 발생하는 데서 비롯됩니다. 인증되지 않은 공격자는 이 허점을 악용해 변형된 EPP 헤더가 담긴 조작된 네트워크 요청을 전송하여 의도치 않은 동작과 비정상적인 프로그램 종료를 유발할 수 있습니다.
Onapsis CTO JP Perez-Etchegoyen은 다음과 같이 말했습니다. "OVERPASS는 이 구조체를 처리하는 SAP 커널 코드의 결함입니다. 영향받는 시스템에 특수하게 조작된 요청을 전송하면 수신 프로세스를 제어하고, 나아가 호스트에서 운영체제 명령을 실행하는 데 악용될 수 있습니다."
"EPP 처리는 두 개 이상의 프로토콜이 공유하는 커널 코드이기 때문에, 이 결함은 인터넷에 노출된 웹 계층, 모든 최종 사용자가 연결하는 SAP GUI 계층, SAP 시스템 간을 연결하는 RFC 계층을 통해 모두 도달할 수 있습니다. 여러 SAP 컴포넌트와 여러 통신 프로토콜을 통해 접근 가능하며, 그 어느 것도 자격증명을 요구하지 않기 때문에 단일 네트워크 통제 수단만으로는 위험을 완전히 완화할 수 없습니다."
악용에 성공하면 공격자는 다음 행위를 수행할 수 있습니다: SAP 보안 저장소를 읽어 데이터베이스 자격증명·비밀번호 해시·저장된 모든 비즈니스 데이터를 복구; 로그인된 사용자의 실시간 세션 데이터 열람; 저장된 자격증명을 추출해 연결된 모든 SAP 시스템으로 횡이동; 애플리케이션 데이터·시스템 구성·SAP 바이너리 변조.
SAP가 패치한 두 번째 심각한 결함은 CVE-2026-58240(CVSS 점수: 9.8)으로, SAP NetWeaver Message Server의 인증 확인 누락 취약점입니다. 네트워크 접근 권한이 있는 비인증 공격자가 이를 악용해 무단 작업을 수행할 수 있습니다. 이 취약점 역시 Onapsis가 발견했으며, S4GET이라는 이름을 부여했습니다.
보안 연구원 Pablo 'Partu' Agustin Artuso는 다음과 같이 설명했습니다. "S4GET은 잘못된 설정이 아니라 논리적 결함입니다. SAP S/4HANA 및 SAP S/4HANA Cloud Private Edition이 구동되는 SAP 9.x 커널 라인, 그리고 잠재적으로 다른 ABAP 기반 제품에도 존재합니다."
"이 결함을 특히 위험하게 만드는 것은 도달 가능성입니다. 모든 SAP GUI 클라이언트가 연결하는 공용 포트를 통해 트리거되기 때문에, 최종 사용자 로그온을 중단하지 않고서는 방화벽으로 차단할 수 없습니다. 악용에 자격증명·인증서·사전 설정 오류가 전혀 필요하지 않습니다. 공격에 성공하면 클러스터 내 모든 애플리케이션 서버에서 SAP를 실행하는 OS 수준 사용자인 <sid>adm 권한으로 완전한 원격 코드 실행이 가능합니다."
SAP가 패치한 나머지 두 가지 심각도 높은 보안 결함은 다음과 같습니다.
- CVE-2026-76969 (CVSS 점수: 9.4) — SAP Cloud Application Programming Model(CAP)을 사용하는 멀티테넌트 애플리케이션의 자격증명 노출 취약점. 비인증 공격자가 특수하게 조작된 요청을 전송해 민감한 자격증명을 획득한 후, 이를 이용해 테넌트 데이터를 교체하거나 삭제할 수 있습니다.
- CVE-2026-66768 (CVSS 점수: 9.0) — SAP NetWeaver SAP GUI for Java의 부적절한 접근 제어 취약점. 기반 호스트에서 임의 명령을 실행할 수 있습니다.
현재까지 이 보안 취약점들이 실제로 악용된 사례는 없지만, 결함의 심각성을 감안해 즉각적인 조치가 필요합니다. Onapsis는 모든 SAP 시스템을 파악하고, 내부 인스턴스보다 인터넷에 노출된 시스템을 먼저 패치하며, 가능한 한 노출을 줄이고, 악용 시도를 모니터링할 것을 권고하고 있습니다.
Perez-Etchegoyen은 CVE-2026-44756에 대해 다음과 같이 말했습니다. "패치 적용이 진행되는 동안 이 취약점 악용 시도를 탐지하고 조사할 수 있도록 SAP 애플리케이션 계층에 대한 가시성을 확보하십시오."
"한 가지 사실을 명확히 말씀드리겠습니다. SAP 권한 설정과 SoD(Segregation of Duties, 직무 분리) 통제는 도움이 되지 않습니다. 취약한 코드는 인증 단계 이전에 실행되므로 사용자 잠금·역할 강화·비밀번호 정책 적용·트랜잭션 접근 제한 등 어떤 조치도 이 공격 경로에는 효과가 없습니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
