핵심 POINT
SAP는 2026년 9월 8일 Security Patch Day에서 19개의 신규 보안 노트와 1개의 기존 노트 업데이트를 공개했습니다. 이 가운데 CVE-2026-44756은 Critical, CVSS 10.0으로 분류됐습니다.
OVERPASS는 SAP Extended Passport(EPP)를 처리하는 공유 Kernel 코드의 취약점입니다. Onapsis는 인증 없이 원격에서 악용될 수 있으며 웹·SAP GUI·RFC 경로에서 취약한 처리 로직에 도달할 수 있다고 분석했습니다.
공개 시점 기준 실제 악용은 관측되지 않았지만, 영향 Kernel·Web Dispatcher와 노출 경로를 먼저 확인하고 SAP Security Note 3747649를 기준으로 패치를 우선 적용하는 것이 중요합니다.
SAP는 ERP를 비롯한 핵심 업무 시스템에 폭넓게 활용되는 만큼, SAP 보안 취약점이 공개되면 단순히 CVSS 점수만 확인하는 데서 끝내기 어렵습니다. 실제 운영 중인 Kernel 버전과 패치 레벨, 외부·내부에서 시스템에 접근할 수 있는 경로, 업무 중단을 최소화할 패치 계획까지 함께 살펴봐야 합니다.
이번 9월 SAP 보안 패치에서 특히 주목할 항목은 CVE-2026-44756입니다. 발견 기관 Onapsis는 이 취약점에 OVERPASS라는 이름을 붙였으며, 인증 전 단계에서 여러 SAP 통신 경로를 통해 악용될 수 있다고 설명했습니다. 아직 실제 공격 악용이 확인된 것은 아니지만, 영향을 받는 시스템을 운영한다면 선제적인 확인과 패치가 필요한 이유입니다.
이번 글에서는 SAP 또는 SAP 관련 시스템을 운영하는 기업이 OVERPASS의 영향 여부를 어떻게 판단하고, 패치 전후 무엇을 확인해야 하는지 실무 관점에서 정리합니다.
■ SAP 9월 보안 패치, 왜 CVE-2026-44756을 먼저 봐야 할까
출처: AI(ChatGPT) 생성 이미지
SAP는 2026년 9월 8일 Security Patch Day에서 19개의 신규 보안 노트와 1개의 기존 노트 업데이트를 공개했습니다. 이 가운데 SAP Extended Passport(EPP) 처리 과정의 메모리 손상 취약점 CVE-2026-44756은 Critical, CVSS 10.0으로 분류됐으며 SAP Security Note 3747649를 통해 수정 사항이 제공됐습니다.
여기서 EPP는 SAP 시스템 간 호출 흐름과 오류를 추적하는 데 사용하는 표준 추적 정보 구조입니다. 문제는 이 정보를 처리하는 코드가 SAP Kernel의 공유 영역에 포함돼 있다는 점입니다. 따라서 특정 애플리케이션 화면 하나의 문제라기보다, 동일한 Kernel 코드를 사용하는 여러 통신 경로에서 영향을 받을 수 있습니다.
Onapsis는 취약점이 인증 전에 처리되는 영역에 위치하며, 악용에 성공할 경우 SAP 시스템을 실행하는 운영체제 계정 권한으로 명령 실행이 가능할 수 있다고 분석했습니다. 이 때문에 단순한 서비스 장애 수준이 아니라 SAP 업무 데이터와 연결 시스템까지 영향을 받을 수 있는 고위험 취약점으로 보고 있습니다.
■ OVERPASS는 어떤 취약점인가? 웹·SAP GUI·RFC 경로 함께 확인
출처: AI(ChatGPT) 생성 이미지
OVERPASS의 핵심은 하나의 취약한 EPP 처리 로직에 여러 경로로 접근할 수 있다는 점입니다. Onapsis는 인터넷과 연결될 수 있는 웹 계층뿐 아니라, 사용자가 접속하는 SAP GUI 계층과 시스템 간 연동에 사용하는 RFC 계층에서도 같은 취약한 로직에 도달할 수 있다고 설명했습니다.
즉, 인터넷에 직접 노출된 SAP 시스템만 확인해서는 영향 범위를 충분히 판단하기 어렵습니다. 외부 공개 웹 서비스가 없더라도 사내 사용자망에서 SAP GUI 접속이 가능하거나, 다른 시스템과 RFC 연동이 구성돼 있다면 함께 확인해야 합니다.
방화벽이나 접근 통제는 노출 범위를 줄이는 데 도움이 되지만, 이번 취약점의 근본적인 해결책은 아닙니다. 한 경로를 제한해도 다른 통신 경로가 남을 수 있기 때문에, 네트워크 통제는 보완 수단으로 활용하고 SAP Security Note 3747649에 따른 패치를 우선 검토하는 것이 필요합니다.
■ 영향 범위는 제품명이 아니라 Kernel·Web Dispatcher 버전으로 확인
SAP 공식 9월 보안 패치 목록에는 KERNEL 7.22, 7.53, 7.54, 7.77, 7.89, 7.93, 8.04, 9.16, 9.18, 9.19, 9.20 계열과 WEBDISP 9.16, 9.18, 9.19, 9.20 계열 등이 영향 버전으로 포함돼 있습니다. 일부 KRNL64NUC·KRNL64UC 계열도 영향 대상에 포함됩니다.
따라서 “우리 회사는 특정 SAP 제품을 사용하니 괜찮다”는 식으로 제품명만 보고 판단하기보다, 실제 시스템이 사용하는 Kernel 릴리스와 패치 레벨을 확인해야 합니다. 운영 환경뿐 아니라 개발·검증·DR·장기간 사용하지 않은 시스템도 같은 Kernel을 사용할 수 있으므로 자산 목록에서 빠지지 않았는지 함께 확인하는 것이 좋습니다.
영향 여부와 적용 가능한 수정 버전은 SAP Security Note 3747649의 최신 정보를 기준으로 최종 대조해야 합니다. 패치 적용 전에는 SAP Basis·인프라·보안 담당자가 대상 시스템과 업무 영향 범위를 함께 확인하는 것이 안전합니다.
■ 패치 전 기업이 확인할 5가지
출처: AI(ChatGPT) 생성 이미지
1. 영향 자산과 실제 패치 레벨 확인
운영 시스템만 보지 말고 개발·검증·DR 환경까지 포함해 SAP Kernel과 Web Dispatcher의 버전·패치 레벨을 수집합니다. 오래된 시스템이나 사용 빈도가 낮은 시스템도 네트워크에 연결돼 있다면 확인 대상에 포함하는 것이 좋습니다.
2. 외부·내부 접근 경로 함께 점검
인터넷 공개 웹 서비스와 Web Dispatcher뿐 아니라 SAP GUI 사용자망, RFC 연결, 파트너·원격접속 구간까지 확인합니다. 외부에 직접 노출되지 않은 시스템도 내부망에서 접근 가능한 구조라면 점검이 필요합니다.
3. Security Note 3747649 기준으로 패치 우선순위 결정
영향 시스템을 확인했다면 인터넷에 노출된 시스템을 우선하되, 내부 시스템도 후순위라는 이유로 장기간 미루지 않는 것이 중요합니다. 적용 대상과 변경 시간, 백업·롤백 절차, 업무 검증 담당자를 사전에 정리해 패치 창을 준비합니다.
4. 패치 전후 이상 징후와 변경 내역 점검
공개 시점 기준 실제 악용은 관측되지 않았지만, 패치가 완료될 때까지는 SAP 애플리케이션과 서버 계층의 이상 행위를 함께 확인하는 것이 좋습니다. 예상하지 못한 프로세스 실행, 관리자 계정·설정 변경, 비정상 연결 등 평소와 다른 징후가 있는지 살펴봅니다.
5. 적용 후 주요 업무와 연동 구간 검증
패치 적용 후에는 시스템 기동 여부만 확인하지 말고 주요 업무 트랜잭션, SAP GUI 로그인, RFC·인터페이스, Web Dispatcher 경로 등 실제 업무에 필요한 기능을 점검합니다. 적용 버전과 검증 결과를 기록해 사후 관리와 추가 패치 판단에 활용하는 것이 좋습니다.
■ CVE-2026-58240도 같은 점검 창에서 함께 확인
이번 9월 SAP 보안 패치에는 SAP NetWeaver Message Server의 인증 누락 취약점 CVE-2026-58240도 포함됐습니다. 해당 취약점은 Critical, CVSS 9.8이며 SAP Security Note 3759472를 통해 수정 사항이 제공됐습니다.
SAP 공식 목록상 KERNEL 9.16, 9.18, 9.19, 9.20 계열이 영향 대상입니다. Onapsis는 이 취약점 역시 인증 없이 악용될 수 있는 고위험 이슈로 설명하고 있어, OVERPASS 대응을 위한 점검·패치 창을 마련했다면 CVE-2026-58240의 영향 여부도 함께 확인하는 편이 효율적입니다.
두 취약점 모두 제품 이름만으로 영향 여부를 단정하기보다 실제 Kernel 버전과 패치 레벨을 확인해야 한다는 점이 공통적입니다. SAP 운영 조직과 보안 조직이 동일한 자산 목록을 기준으로 점검하면 누락 가능성을 줄일 수 있습니다.
■ 자주 묻는 질문
Q. CVE-2026-44756은 현재 실제 공격에 악용되고 있나요?
A. Onapsis는 2026년 9월 8일 공개 시점 기준 실제 환경에서의 활성 악용을 관측하지 않았다고 밝혔습니다. 다만 CVSS 10.0의 인증 전 원격 취약점인 만큼, 실제 악용 여부와 별개로 영향 시스템을 식별하고 패치를 우선 검토하는 것이 필요합니다.
Q. 인터넷에 노출된 SAP 시스템만 확인하면 되나요?
A. 아닙니다. OVERPASS는 웹 계층뿐 아니라 SAP GUI와 RFC 경로에서도 같은 취약한 처리 로직에 도달할 수 있습니다. 외부 공개 여부뿐 아니라 사내 사용자망과 시스템 간 연동 경로도 함께 확인해야 합니다.
Q. 방화벽으로 접근을 제한하면 패치를 미뤄도 되나요?
A. 접근 제한은 위험을 낮추는 보완책이지만 패치의 대체 수단으로 보기 어렵습니다. 여러 통신 경로가 영향을 받을 수 있어, SAP Security Note 3747649에 따른 패치 적용을 우선하고 네트워크 통제는 추가적인 방어 수단으로 활용하는 것이 좋습니다.
Q. 우리 회사가 영향을 받는지는 어떻게 확인하나요?
A. 실제 SAP Kernel·Web Dispatcher의 릴리스와 패치 레벨을 확인한 뒤 SAP Security Note 3747649의 최신 영향 정보를 대조해야 합니다. 운영계뿐 아니라 개발·검증·DR 환경과 오래된 시스템도 함께 확인하는 것이 좋습니다.
Q. 패치 적용 후에는 무엇을 확인해야 하나요?
A. 패치 버전이 정상 적용됐는지 확인한 뒤 SAP GUI 로그인, 주요 업무 트랜잭션, RFC·인터페이스, Web Dispatcher 경로 등 핵심 기능을 검증합니다. 변경 기록과 검증 결과를 남겨 이후 보안 점검과 장애 대응에 활용하는 것이 좋습니다.
[콘텐츠 출처]
SAP, SAP Security Patch Day - September 2026 (2026. 09. 08.)
Onapsis Research Labs, Mitigating OVERPASS (CVE-2026-44756) (2026. 09. 08.)
Onapsis Research Labs, S4GET Advisory (CVE-2026-58240) (2026. 09. 08.)
