Сегодня в рамках ежемесячного дня выпуска исправлений безопасности SAP были устранены четыре уязвимости, которые злоумышленники могли использовать без входа в систему. Производитель оценил все четыре уязвимости на 10,0 баллов по шкале CVSS, что является максимальным показателем. Три из них находятся в серверной части приложений SAP NetWeaver, на которой работают системы SAP, а одна — в Web Dispatcher, который принимает веб-запросы из интернета и передает их на этот сервер.
Уязвимости в Web Dispatcher и Internet Communication Manager (ICM), который обрабатывает веб-трафик сервера, могут позволить злоумышленнику, имеющему сетевой доступ к программному обеспечению, выполнить код, как заявляет производитель. Уязвимость в службе поставщика SAML 2.0 сервера, которая передает вход пользователя поставщику удостоверений, может позволить злоумышленнику войти в систему под любым пользователем в некоторых системах, использующих единый вход SAML. Уязвимость в SAP Gateway, который связывает сервер с другими системами и программами SAP, может позволить злоумышленнику выдать себя за один из собственных серверов системы и совершить несанкционированные действия.
Ни одна из четырех уязвимостей не требует каких-либо действий от пользователя для эксплуатации. Каждая уязвимость исправлена в отдельной заметке, а затронутые версии различаются в зависимости от компонента, согласно ноябрьскому бюллетеню безопасности SAP. Заметки доступны в SAP for Me, для доступа к которым требуется вход в систему, и производитель настоятельно рекомендует применить их в приоритетном порядке.
В затронутых конфигурациях SAML злоумышленник мог использовать CVE-2026-120017 для входа в систему под привилегированными пользователями, как сообщает производитель. Это могло привести к полному компрометированию системы и, возможно, к доступу к связанным системам. Другая уязвимость SAML в том же программном обеспечении, CVE-2026-44748, была исправлена 9 июня и требовала наличия у злоумышленника обычной учетной записи пользователя.
В уязвимости ICM (CVE-2026-76964) и Web Dispatcher (CVE-2026-89126) специально сформированный сетевой трафик мог привести к повреждению памяти. Злоумышленник, добившийся успеха, мог затем выполнить код и полностью скомпрометировать систему. SAP Gateway использует списки контроля доступа для определения того, какие внешние программы могут к нему подключаться и какие программы он может запускать. В CVE-2026-89103 шлюз использует свой список по умолчанию с высокими привилегиями, позволяя внешнему злоумышленнику действовать как один из собственных серверов приложений системы. Затем этот злоумышленник мог совершать несанкционированные действия в среде приложений.
В своем анализе дня исправлений безопасности компания RedRays, которая сегодня изучила заметки в SAP for Me, рекомендует обновить ядро и все Web Dispatcher в рамках одного развертывания. Это развертывание должно охватывать все 17 исправлений ядра и Web Dispatcher этого месяца. Рекомендации компании по каждой уязвимости:

Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.