SAP, kimlik doğrulaması gerektirmeyen dört CVSS 10.0 açığını yamaladı; ikisi uzaktan kod çalıştırmaya izin veriyor

SAP'nin Kasım 2026 güvenlik yaması NetWeaver ve Web Dispatcher'daki dört açığı kapattı; bunların hiçbiri oturum açmayı gerektirmiyor ve SAML2 açığı için geçici çözüm yok, yalnızca yama var.

SAP'nin Kasım 2026 Güvenlik Yama Günü'nde kapatılan dört açık, kimlik doğrulaması olmadan istismar edilebilecek şekilde en yüksek CVSS puanı olan 10.0 ile derecelendirildi. Açıkların üçü NetWeaver uygulama sunucusunda, biri ise NetWeaver'in Web Dispatcher bileşeninde yer alıyor. Dört açığın hiçbiri kullanıcı eylemi gerektirmiyor.

Web Dispatcher ve ICM'deki açıklar (CVE-2026-89126 ve CVE-2026-76964), yazılıma ağ üzerinden erişebilen bir saldırganın özel hazırlanmış trafikle bellek bozulmasına yol açıp kod çalıştırabileceği anlamına geliyor. Açıkları bildiren Onapsis, iki açığın birlikte oluşturduğu sorunu ICM2SHELL olarak adlandırıyor ve bunun SAP kullanıcısı, parola ya da kullanıcı etkileşimi olmadan uzaktan kimliksiz kod çalıştırmaya izin verdiğini söylüyor.

SAML2 servis sağlayıcısındaki açık (CVE-2026-120017), bazı tek oturum açma kurulumlarında bir saldırganın yönetici hesapları dahil herhangi bir kullanıcı olarak oturum açmasına olanak tanıyor. Bu açık için geçici çözüm yok; tek çözüm yamayı uygulamak.

SAP Gateway'deki açık (CVE-2026-89103), PROXYGATE adıyla anılıyor. Dışarıdan bir saldırgan bu açık sayesinde sistemin kendi uygulama sunucularından biriymiş gibi davranabiliyor ve sidadm yetkileriyle işletim sistemi komutları çalıştırabiliyor. Açık, prxyinfo erişim kontrol listesiyle ilgili ve bakım desteği sona ermiş çekirdek sürümlerini etkiliyor.

Aynı bültende toplam 42 yeni ve güncellenmiş güvenlik notu yer aldı; bunların dokuzu kritik, 17'si yüksek önemde. Ekiplerin çekirdeği ve tüm Web Dispatcher'ları birlikte yamalaması, Gateway erişim kontrol listelerinin açık tanımlı olduğunu doğrulaması ve Gateway portunun kullanıcı ağlarından erişilemez olduğunu kontrol etmesi öneriliyor.