SAP가 2026년 9월 보안 업데이트를 통해 총 20개의 취약점을 수정했으며, 그 중 SAP 커널의 'OVERPASS'(CVE-2026-44756)는 버퍼 오버플로(메모리를 넘쳐 흐르게 해 공격자가 시스템을 제어하는 기법)로 권한 없는 공격자도 관리자 권한으로 임의 명령을 실행할 수 있는 최고 심각도 취약점입니다. 인터넷에 노출된 SAP 시스템이 1만 개 이상으로 추산되어 피해 범위가 매우 넓습니다. 함께 패치된 S4GET(CVE-2026-58240)은 인증 없이도 SAP NetWeaver 클러스터 전체를 원격 장악할 수 있어 마찬가지로 심각합니다. 지난달 수정된 CVE-2026-58231은 패치 직후 실제 공격에 악용된 것이 확인되었습니다. SAP 시스템을 운영하는 기업은 이번 패치를 즉시 적용해야 합니다.
SAP가 2026년 9월 정기 보안 업데이트에서 최고 심각도 취약점 2건을 포함해 총 20개 취약점을 패치했습니다. OVERPASS(CVE-2026-44756)는 SAP 커널의 EPP 처리 라이브러리 버퍼 오버플로이며, S4GET(CVE-2026-58240)은 SAP NetWeaver Message Server의 인증 부재 결함입니다.
권한 없는 공격자가 인터넷을 통해 SAP 시스템에 원격 코드 실행(RCE)을 수행하고 관리자 권한을 획득할 수 있습니다. 인터넷에 노출된 SAP 시스템이 1만 개 이상이며, 전 세계 100대 기업 중 99개가 SAP를 사용해 잠재적 피해 규모가 큽니다.
OVERPASS는 EPP(Extended Passport Protocol) 처리 라이브러리의 고전적인 버퍼 오버플로에서 비롯되었고, S4GET은 SAP NetWeaver Message Server가 인증 없이 외부 접근을 허용하는 로직 결함입니다.
SAP는 9월 정기 패치로 해당 취약점들을 수정했습니다. CVE-2026-58231은 이미 실제 공격에 악용된 정황이 확인되었으므로 즉각적인 패치 적용이 필요합니다.
SAP 시스템 운영 기업은 9월 보안 업데이트를 즉시 적용하고, 인터넷에 노출된 SAP ICM 및 NetWeaver 구성 요소를 우선 점검해야 합니다. 방화벽 등으로 불필요한 외부 접근을 최소화하는 것도 중요합니다.
본문
SAP가 2026년 9월 보안 업데이트를 통해 여러 제품에 걸쳐 총 20개의 취약점을 수정했습니다. 그 중에는 SAP 커널 코드에서 발견된 최고 심각도 메모리 손상 취약점도 포함되어 있습니다.
CVE-2026-44756로 추적되며 이를 발견·보고한 Onapsis 보안 연구팀이 'OVERPASS'라고 명명한 이 취약점은, EPP(Extended Passport Protocol) 처리 라이브러리에 존재하는 고전적인 버퍼 오버플로 취약점에서 비롯되었습니다.
공격에 성공할 경우 권한이 없는 위협 행위자도 취약한 SAP 호스트에서 관리자 권한으로 임의의 명령을 실행할 수 있으며, 이는 SAP 프로세스 및 비즈니스 데이터 전체의 완전한 침해로 이어집니다.
이 취약점은 SAP Internet Communication Manager(ICM) — SAP 시스템(SAP NetWeaver Application Server)을 HTTP, HTTPS, SMTP를 통해 인터넷과 연결하는 SAP Application Server의 네트워크 구성 요소 — 를 통해 악용될 수 있습니다.
Onapsis의 추산에 따르면, 취약한 구성 요소를 사용하는 인터넷 노출 SAP 시스템이 1만 개를 넘으며, CVE-2026-44756를 악용하는 공격에 잠재적으로 노출되어 있습니다.
Onapsis CTO인 JP Perez-Etchegoyen은 화요일에 "고신뢰도 핑거프린트를 활용한 표적 탐색 결과, 공개 인터넷에서 접근 가능한 SAP 웹 인터페이스를 노출하고 있는 인터넷 연결 고유 IP 주소가 1만 개 이상으로 확인되었으며, 이는 보수적인 수치"라고 밝혔습니다.
"이 수치는 HTTP로 접근 가능한 시스템만 집계한 것으로, 백엔드를 프록시하면서 루트 경로에 SAP 식별 배너를 반환하지 않아 인터넷 전체 스캐너가 구조적으로 식별하기 어려운 SAP Web Dispatcher는 상당 부분 누락되어 있습니다."
SAP NetWeaver Message Server의 로직 결함, S4GET
SAP는 이날 CVE-2026-58240도 수정했습니다. 이는 SAP NetWeaver Message Server에서 발견된 치명적인 인증 누락 취약점으로, Onapsis Research Labs가 'S4GET'이라 명명했습니다.
공격에 성공할 경우 인증되지 않은 공격자가 SAP 시스템 클러스터 전체에 접근하고, 네트워크를 통해 원격으로 악성 페이로드 및 임의의 명령을 실행할 수 있습니다.
Onapsis 보안 연구원 Pablo Artuso는 "이 취약점은 모든 SAP GUI 클라이언트가 접속하는 공개 포트를 통해 트리거되므로, 방화벽으로 차단할 경우 최종 사용자 로그온 자체가 불가능해진다"고 설명했습니다.
"공격에는 자격증명도, 인증서도, 사전 구성 오류도 필요하지 않습니다. 공격에 성공하면 클러스터 내 모든 애플리케이션 서버에서 SAP를 구동하는 OS 수준 사용자인 <sid>adm 권한으로 완전한 원격 코드 실행이 가능합니다."
지난달 SAP는 클라우드 기반 전자상거래 플랫폼인 Commerce Cloud에서 또 다른 최고 심각도 취약점(CVE-2026-58231)을 수정했으며, 위협 인텔리전스 기업 Defused는 패치 직후 며칠 내에 해당 취약점이 실제 공격에 악용되고 있음을 확인했습니다.
2021년 11월 이후 미국 CISA(사이버보안·인프라보안국)는 SAP 보안 취약점 14건을 실제 악용 취약점 목록에 등재했으며, 그 중 3건은 랜섬웨어 조직이 악용한 것으로 확인되었습니다.
SAP는 2025 회계연도 총 매출이 360억 유로를 넘는 독일 다국적 소프트웨어 기업으로, 전 세계 100대 기업 중 99개에 서비스를 제공하고 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
