SAP Kasım Patch Day'de beş adet CVSS 10 açık; NetWeaver ABAP, Gateway ve Web Dispatcher öncelikli
SAP'nin Kasım 2026 güvenlik günü 40'ı aşkın CVE ile geldi. Kimlik doğrulaması gerektirmeyen beş açık CVSS 10 puan aldı; bunlardan biri ABAP sisteminde herhangi bir kullanıcının, yönetici hesapları dahil, kimliğine bürünmeye izin veriyor. İstismar bildirimi şimdilik yok.
CVE-2026-120017, CVE-2026-76964, CVE-2026-89103
SAP, Kasım 2026 Security Patch Day kapsamındaki notlarını yayımladı. SAP'nin CVE numaralandırma otoritesi (CNA) olarak NVD'ye girdiği kayıtlar 10 Kasım sabahı itibarıyla 40'ı aşıyor. Bunlardan beşi CVSS 10, üçü 9.9, biri 9.6 ve biri 9.1 puan aldı. CVSS 10 alan açıkların hepsi ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi olmadan kullanılabiliyor ve "scope changed" olarak işaretlendi. Bu, etkinin açığın bulunduğu bileşenin ötesindeki sistemlere de uzanabileceği anlamına geliyor.
Ayın en dikkat çekici kaydı CVE-2026-120017. SAP'nin açıklamasına göre NetWeaver AS ABAP ve ABAP Platform, belirli yapılandırmalarda gelen kimlik doğrulama beyanlarını (authentication assertion) yeterince doğrulamıyor. Kimliği doğrulanmamış bir saldırgan böylece yönetici hesapları dahil herhangi bir kullanıcının kimliğine bürünebiliyor. SAP Gateway'deki CVE-2026-89103 ise varsayılan erişim kontrol listesinin (ACL) yüksek yetkiyle etkinleşmesinden kaynaklanıyor: Dışarıdaki bir saldırgan iç uygulama sunucusu gibi sınıflandırılabiliyor. Kayıtlarda CISA KEV girişi ya da aktif istismar bildirimi yok. SAP sistemleri ise geçmişte yama sonrası kısa sürede hedef alınan bir ürün ailesi.
Etkilenen ve düzeltilmiş sürümler
| CVE | CVSS | Bileşen | Açık türü (SAP açıklaması) | SAP Note |
|---|---|---|---|---|
| CVE-2026-120017 | 10.0 | NetWeaver AS ABAP, ABAP Platform | Kimlik doğrulama atlatma, kullanıcı taklidi | 3849308 |
| CVE-2026-76964 | 10.0 | NetWeaver AS ABAP | Bellek bozulması, uzaktan kod çalıştırma | 3778530 |
| CVE-2026-89103 | 10.0 | SAP Gateway | Varsayılan ACL ile yetkisiz işlem | 3798345 |
| CVE-2026-89126 | 10.0 | SAP Web Dispatcher | Bellek bozulması, uzaktan kod çalıştırma | 3778556 |
| CVE-2026-109795 | 9.9 | NetWeaver (remote-enabled işlevler) | Düşük yetkiyle kod enjeksiyonu | 3834842 |
| CVE-2026-109803 | 9.9 | NetWeaver Knowledge Management (XML Forms) | XSL dönüşümüyle kod çalıştırma | 3809153 |
| CVE-2026-76965 | 9.9 | NetWeaver AS ABAP, ABAP Platform | Düşük yetkiyle işletim sistemi komutu | 3792735 |
| CVE-2026-89119 | 9.6 | Web Dispatcher, ICM | Yönetici oturumunda istenmeyen işlem | 3804858 |
| CVE-2026-109798 | 9.1 | BusinessObjects BI Platform (Web Intelligence) | XML external entity | 3799117 |
Etkilenen sürümler ve kernel ya da support package düzeyindeki düzeltmeler her notta ayrı listeleniyor. Doğru düzeltme seviyesi için üretici bildirimindeki listeye, yani ilgili SAP Note'a bakın; notlar SAP for Me hesabı ister. Ayın geri kalan kayıtları arasında Message Server, Internet Graphics Service, Host Agent ve NetWeaver AS Java için 7.x puanlı hizmet dışı bırakma, SSRF ve yetki açıkları da var.
Beni etkiliyor mu?
- SAP ERP, S/4HANA ya da başka bir NetWeaver tabanlı sistem işletiyorsanız büyük olasılıkla evet. ABAP yığını ve kernel bu ayın merkezinde.
- Kernel sürümünü SAP GUI'de Sistem › Durum ekranından ya da işletim sisteminde
disp+work -versionçıktısından okuyabilirsiniz. Web Dispatcher için aynı bilgisapwebdisp -versionçıktısında yer alıyor. - SAP Gateway'in ACL davranışını görmek için
RZ11işlemindegw/acl_modeparametresinin değerini görüntüleyin veSMGWişleminde yüklüsecinfo/reginfokurallarına bakın. Bu adımlar yalnızca görüntüleme amaçlıdır. - Web Dispatcher ya da ICM yönetim arayüzü internete ya da geniş bir iç ağa açıksa risk daha yüksek.
Ne yapılmalı?
- Kasım notlarını SAP for Me üzerinden indirip sistem envanterinizle eşleştirin. CVSS 10 alan dört notu (3849308, 3778530, 3798345, 3778556) acil change olarak planlayın.
- Kernel ve Web Dispatcher güncellemelerini önce test, sonra üretim sistemlerine uygulayın; SAP'nin notta belirttiği ön koşul ve manuel adımları atlamayın.
- Notlarda workaround tarif ediliyorsa, patch'e kadar onu uygulayıp uygulamayacağınızı değişiklik sürecinizle karar verin. Gateway ACL ve ICM yönetim erişimi için SAP'nin önerdiği hardening ayarlarını gözden geçirin.
- SAP Gateway (33xx), Message Server ve Web Dispatcher yönetim portlarına erişimi ağ seviyesinde yalnızca gereken sunucularla sınırlayın.
- Security Audit Log ve Gateway loglarında olağan dışı RFC kayıtlarını ve beklenmeyen kullanıcı oturumlarını izlemeye alın.
