SAP opravy pre štyri zraniteľnosti s CVSS 10.0

SAP 10. novembra 2026 vydal opravy štyroch zraniteľností s maximálnym skóre CVSS 10.0 v produktoch NetWeaver, Web Dispatcher a Gateway.

SAP opravy pre štyri zraniteľnosti s CVSS 10.0 vydal výrobca 10. novembra 2026 v rámci Security Patch Day. SAP zverejnil 35 nových bezpečnostných poznámok a štyri advisories na GitHube. Výrobca odporúča príslušné opravy nasadiť prioritne.

SAP opravy pre NetWeaver, Web Dispatcher a Gateway

Maximálne hodnotenie CVSS 10.0 dostali tieto chyby:

  • CVE-2026-76964 v Internet Communication Manageri (ICM) SAP NetWeaver AS ABAP, ktorú SAP klasifikuje ako memory corruption.
  • CVE-2026-89126 v SAP Web Dispatcher, tiež typu memory corruption.
  • CVE-2026-89103 v SAP Gateway, označenú ako broken access control.
  • CVE-2026-120017 v službe SAML2 Service Provider SAP NetWeaver AS ABAP a ABAP Platform, klasifikovanú ako missing authentication.

Pre každú z týchto zraniteľností SAP publikoval samostatnú Security Note. Podrobné technické podmienky zneužitia a úplný zoznam opravených patch levelov sú dostupné v poznámkach SAP for Me, ktoré vyžadujú prihlásenie.

Možné dôsledky a priorita záplatovania

Podľa sekundárneho reportingu môžu chyby CVE-2026-76964 a CVE-2026-89126 viesť k vzdialenému spusteniu kódu. CVE-2026-89103 je v týchto správach tiež opisovaná ako chyba umožňujúca neautentifikované vzdialené spustenie kódu. SAP pri nej uvádza kategóriu nedostatočnej kontroly prístupu.

Dotknuté komponenty v mnohých prostrediach obsluhujú sieťovú komunikáciu alebo prepájajú SAP systémy. Neopravené inštancie, najmä tie dostupné z internetu, preto môžu predstavovať riziko vzdialeného prevzatia systému alebo vykonania neoprávnených akcií. Závažnosť zvyšuje kombinácia maximálneho skóre, možného neautentifikovaného útoku a zásahu do komponentov NetWeaver, Web Dispatcher a Gateway.

Správcovia by mali identifikovať nasadenia uvedených produktov, porovnať ich verzie s príslušnými SAP Security Notes a aplikovať relevantné aktualizácie. Prioritu by mali mať najmä externe dostupné SAP inštancie.

Aktívne zneužívanie zatiaľ nie je potvrdené

V preskúmaných zdrojoch nie je potvrdené, že by niektorá zo štyroch chýb bola aktívne zneužívaná vo voľnej prírode.

Ďalší vývoj môže priniesť vyjadrenie SAP, spoločnosti Onapsis alebo bezpečnostných autorít k prípadnému zneužívaniu. Dôležité bude tiež zverejnenie verejných proof-of-conceptov alebo detekčných pravidiel. Do ich dostupnosti zostáva najpriamejším krokom kontrola relevantných systémov a urýchlené nasadenie opráv, ktoré SAP vydal.

Súvisiace články

Zdroje

  • SAP Security Patch Day – November 2026 – Primárne potvrdzuje dátum vydania, počet nových bezpečnostných poznámok, štyri CVSS 10.0 CVE, dotknuté produkty, typy zraniteľností a čísla SAP Notes.
  • The Hacker News – Koroboruje, že dve memory-corruption chyby môžu viesť k vzdialenému spusteniu kódu, a opisuje možné dôsledky ďalších dvoch chýb.
  • BleepingComputer – Koroboruje rozsah novembrových opráv, pomenovanie ICM2SHELL a PROXYGATE výskumníkmi z Onapsis a uvádzaný neautentifikovaný charakter útokov.

Overené a aktualizované: 10. 11. 2026 15:26

Značky
Zdieľanie

Súvisiace