SAP opravil dve kritické chyby v SAP Kernele a NetWeaver Message Serveri
SAP vydal opravy pre CVE-2026-44756 s CVSS 10,0 a CVE-2026-58240 s CVSS 9,8. Obe chyby sú podľa Onapsis vzdialene zneužiteľné bez autentizácie.
SAP kritické zraniteľnosti opravil v rámci septembrového Security Patch Day. Spoločnosť 8. septembra 2026 vydala bezpečnostné aktualizácie pre dve kritické chyby v komponentoch SAP Kernel, SAP Web Dispatcher a SAP NetWeaver Message Server. Organizácie by mali bezodkladne overiť používané verzie a postupovať podľa príslušných SAP Security Notes.
SAP kritické zraniteľnosti: CVSS 10,0 a 9,8
Prvou chybou je CVE-2026-44756, ktorú SAP rieši v Security Note 3747649. Ide o poškodenie pamäte pri spracovaní SAP Extended Passport (EPP). Zraniteľnosť má hodnotenie CVSS 10,0 a zasahuje viacero verzií SAP Kernel a SAP Web Dispatcher.
Druhá chyba, CVE-2026-58240, je opravená prostredníctvom Security Note 3759472. SAP ju klasifikuje ako chýbajúcu autentizačnú kontrolu v SAP NetWeaver Message Serveri a priraďuje jej CVSS 9,8. Dotknuté sú kernelové vetvy 9.16, 9.18, 9.19 a 9.20.
Bezpečnostná firma Onapsis, ktorá chyby nahlásila, označuje CVE-2026-44756 názvom OVERPASS a CVE-2026-58240 názvom S4GET. Podľa jej odporúčaní sú obe zraniteľnosti vzdialene zneužiteľné bez predchádzajúcej autentizácie.
Opravy sú dostupné v SAP Security Notes
Vendorové opravy sú dostupné prostredníctvom Security Notes 3747649 a 3759472. SAP vo verejnom prehľade potvrdzuje typ chýb, ich kritickú závažnosť, dotknuté produktové vetvy a vydanie opráv.
Správcovia SAP prostredí by mali identifikovať nasadené verzie SAP Kernel, SAP Web Dispatcher a SAP NetWeaver Message Servera, porovnať ich s rozsahom uvedeným v bezpečnostných poznámkach a nasadiť príslušné aktualizácie. CERT-EU tiež odporúča aplikovať SAP opravy bez odkladu.
Pri CVE-2026-44756 je dôležitý širší rozsah dotknutých verzií SAP Kernel a Web Dispatcher. Pri CVE-2026-58240 treba venovať pozornosť aj sieťovej dostupnosti Message Servera, vrátane jeho dostupnosti v internom prostredí.
Bez potvrdeného aktívneho zneužívania
Onapsis pri publikovaní svojich odporúčaní uviedol, že nepozoroval aktívne zneužívanie ani jednej z chýb vo voľnej prírode. Nejde však o dôkaz, že sa o zneužitie nikto nepokúsil alebo že k nemu nedošlo mimo pozorovania firmy.
Onapsis zároveň uvádza scenár spoľahlivého vzdialeného spustenia ľubovoľných príkazov operačného systému. SAP vo verejnom prehľade tento konkrétny scenár dopadu nepotvrdzuje; uvádza typ zraniteľností, závažnosť a dostupnosť opráv.
Úspešné zneužitie kritickej chyby v dotknutých SAP komponentoch môže mať dopad na dôvernosť, integritu a dostupnosť podnikových systémov a dát. Prioritou preto zostáva nasadenie opráv a sledovanie ďalších informácií od SAP, CERT/CSIRT organizácií a bezpečnostných firiem.
Čo sledovať ďalej
- prípadné potvrdenie aktívneho zneužívania,
- aktualizácie Security Notes 3747649 a 3759472 vrátane opravených patch levelov,
- indikátory kompromitácie alebo dodatočné mitigácie pre prostredia, ktoré nemôžu opravu nasadiť okamžite.
Zdroje
- SAP Security Patch Day – September 2026 – SAP potvrdzuje vydanie Security Notes 3747649 a 3759472 8. septembra 2026, názvy chýb, hodnotenia CVSS a dotknuté verzie.
- Onapsis – Mitigating OVERPASS (CVE-2026-44756) – Nahlasovateľ chyby opisuje OVERPASS ako vzdialene zneužiteľnú predautentizačnú chybu a uvádza, že k zverejneniu nepozoroval aktívne zneužívanie.
- Onapsis – S4GET (CVE-2026-58240) – Nahlasovateľ chyby opisuje S4GET, dostupnú opravu a stav bez ním pozorovaného aktívneho zneužívania k dátumu publikácie.
- CERT-EU Security Advisory 2026-011 – Nezávislé bezpečnostné odporúčanie potvrdzuje kritickosť oboch CVE, dotknuté produktové vetvy a odporúčanie bezodkladne aplikovať SAP opravy.
Overené a aktualizované: 10. 09. 2026 15:26
