SAP, Kritik Uzaktan Kod Yürütme Açıkları Dahil Dört CVSS 10.0 Güvenlik Açığını Yama ile Kapattı

SAP, Dört Kritik Uzaktan Kod Yürütme Açığını Yama ile Kapattı

SAP, 10 Kasım 2026 tarihli aylık Güvenlik Yama Günü kapsamında, saldırganların oturum açmadan faydalanabileceği dört kritik güvenlik açığını giderdi. Bu açıkların tamamı, maksimum CVSS puanı olan 10.0 olarak derecelendirildi.

Bu dört açıktan üçü, SAP sistemlerinin üzerinde çalıştığı SAP NetWeaver uygulama sunucusunda bulunuyor. Diğer açık ise internetten gelen web isteklerini sunucuya ileten Web Dispatcher’da yer alıyor.

Uzaktan Kod Yürütme ve Oturum Açma Açıkları

SAP’nin açıklamasına göre, Web Dispatcher ve sunucunun web trafiğini yöneten İnternet İletişim Yöneticisi (ICM) üzerindeki açıklar, saldırganların yazılıma ağ üzerinden erişerek uzaktan kod çalıştırmasına olanak tanıyabilir.

Sunucunun kullanıcı oturum açma işlemlerini bir kimlik sağlayıcıya devreden SAML 2.0 hizmet sağlayıcısındaki bir açık, SAML tekli oturum açma kullanan bazı sistemlerde saldırganların herhangi bir kullanıcı olarak oturum açmasına izin verebilir.

Sunucuyu diğer SAP sistemlerine ve programlarına bağlayan SAP Gateway’deki bir açık ise, saldırganların sistemin kendi sunucularından biri gibi davranarak yetkisiz eylemlerde bulunmasına yol açabilir. Bu dört güvenlik açığının hiçbiri, istismar edilmek için kullanıcı eylemi gerektirmiyor.

Etkilenen Sürümler ve SAP Notları

SAP’nin Kasım 2026 güvenlik bültenine göre, her bir açık kendi notunda düzeltildi. Etkilenen sürümler bileşene göre farklılık gösteriyor. Notlar, oturum açma gerektiren SAP for Me platformunda mevcut. SAP, bu yamaların öncelikli olarak uygulanmasını şiddetle tavsiye ediyor.

SAP güvenlik şirketi Onapsis’e göre, bakım dışı kalan çekirdekler de etkileniyor. Onapsis araştırmacıları ICM, Web Dispatcher ve Gateway açıklarını keşfetti.

Onapsis’in ICM2SHELL danışmanlığı, ICM ve Web Dispatcher açıkları için 7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85 ve 7.89 çekirdeklerini listelerken, PROXYGATE danışmanlığı aynı çekirdeklere ek olarak 7.20 ve 7.21’i Gateway açığı için belirtiyor. Bu çekirdekler için düzeltme gelmeyebilir ve bakımı devam eden bir sürüme yükseltme gerekebilir.

Her Bir Açığın İzin Verdikleri

SAML2 Hizmet Sağlayıcısı (CVE-2026-120017)

Etkilenen SAML kurulumlarında, SAP’ye göre bir saldırgan CVE-2026-120017’yi kullanarak ayrıcalıklı kullanıcılar olarak oturum açabilir. Bu durum, bağlı sistemlere kadar uzanabilecek tam bir sistem ele geçirme ile sonuçlanabilir. Aynı yazılımdaki farklı bir SAML açığı olan CVE-2026-44748, 9 Haziran’da düzeltilmişti ve normal bir kullanıcı hesabına sahip bir saldırgan gerektiriyordu.

ICM (CVE-2026-76964) ve Web Dispatcher (CVE-2026-89126)

ICM açığı (CVE-2026-76964) ve Web Dispatcher açığı (CVE-2026-89126) durumunda, özel olarak hazırlanmış ağ trafiği bellek bozulmasına neden olabilir. Başarılı olan bir saldırgan, daha sonra kod çalıştırabilir ve sistemi tamamen ele geçirebilir.

Onapsis, her iki açığın da ICM ve Web Dispatcher’ın bölünmüş WebSocket mesajlarını bir araya getirmek için paylaştığı çekirdek kodundaki tek bir hatadan kaynaklandığını belirtiyor ve bu hatayı ICM2SHELL olarak adlandırıyor. Şirket, SAP kurulumunun sahibi olan <sid>adm hesabı olarak işletim sistemi komutlarını çalıştıran çalışan bir istismar kodunu SAP’ye sağladı.

Aynı hata, her iki bileşeni de çökertebilir. Çöken bir Web Dispatcher, yeniden başlayana kadar arkasındaki her SAP sistemini devre dışı bırakır. WebSocket desteği varsayılan olarak açıktır, bu nedenle hiçbir şey kullanmasa bile bir sistem savunmasızdır. Çift yığınlı sistemler ABAP yığınları aracılığıyla etkilenir. Şirketin araştırmacıları, bu hatanın saldırılarda istismar edildiğini henüz görmedi.

SAP Gateway (CVE-2026-89103)

SAP Gateway, kendisine hangi harici programların bağlanabileceğine, hangi programları başlatabileceğine ve başkaları için hangi bağlantıları aktarabileceğine karar vermek için erişim kontrol listelerini kullanır. CVE-2026-89103’te, ağ geçidi varsayılan listesini yüksek ayrıcalıklarla etkinleştirerek harici bir saldırganın sistemin kendi uygulama sunucularından biri olarak kabul edilmesine olanak tanır. Bu saldırgan daha sonra uygulama ortamında yetkisiz eylemlerde bulunabilir.

Açığı bulan araştırmacılar buna PROXYGATE adını veriyor. Maruz kalmanın, ağ geçidinin proxy listesi olan prxyinfo’ya veya bu listenin eksik olduğu bir profil parametresine bağlı olduğunu belirtiyorlar. Bu durum, çoğu sertleştirme kılavuzunun kapsadığı secinfo ve reginfo listelerine bağlı değil. Proxy ayarlarının izin verdiği durumlarda, özel olarak hazırlanmış istekler ağ geçidinin harici bir saldırganı kendi uygulama sunucularından biri olarak görmesine neden olur. Bu da saldırgan için <sid>adm olarak işletim sistemi komutlarını çalıştırmasına olanak tanır.

Açık, AS Java, çift yığınlı ve bağımsız ağ geçidi kurulumları dahil olmak üzere bir ağ geçidi çalıştıran tüm sistemleri etkiliyor. Araştırmacılar, SAP’ye paylaşılan bir kavram kanıtında saldırıyı uçtan uca gösterdiler ve saldırılarda istismar edildiğini görmediler.

Yapılması Gerekenler

SAP for Me’deki notları inceleyen RedRays adlı bir şirket, Yama Günü analizinde, çekirdek ve tüm Web Dispatcher’ların tek bir dağıtımda güncellenmesini tavsiye ediyor. Bu dağıtım, bu ayki 17 çekirdek ve Web Dispatcher düzeltmesinin tamamını kapsayan seviyelere ulaşmalıdır.

Her Bir Açık İçin Rehberlik (Başka bir kaynak belirtilmediği sürece):

• SAML2 (CVE-2026-120017): Belirli yapılandırmalar altında, hizmet sağlayıcı gelen onaylardaki imzaları kontrol etmiyordu. Fiori Launchpad veya bir kimlik sağlayıcının arkasındaki Web GUI gibi tarayıcı oturum açma için SAML2 kullanan herhangi bir AS ABAP sistemi, aksi kanıtlanana kadar kapsam dahilinde kabul edilmelidir. Geçici bir çözüm bulunmadığından, düzeltme talimatları veya listelenen destek paketi tek çözümdür. Firmanın SAML2 analizi ayrıca, SAML2 işlemindeki her güvenilir kimlik sağlayıcısını gözden geçirmeyi ve ayrıcalıklı kullanıcılar tarafından beklenmedik kaynaklardan yapılan SAML oturum açmaları için denetim günlüklerini kontrol etmeyi önermektedir.
• SAP Gateway (CVE-2026-89103): Onapsis, öncelikle proxy listesi olan prxyinfo’yu kontrol etmeyi tavsiye ediyor. Geniş ağlara veya herhangi bir ana bilgisayara açık, izin verici bir liste, sistemi herhangi bir yama seviyesinde savunmasız bırakır. Bu nedenle, internetten erişilebilen ağ geçitlerinden başlayarak kısıtlanmalıdır. Prxyinfo dosyası yoksa, gw/acl_mode_proxy profil parametresi karar verir ve varsayılan olarak 0 olarak ayarlanmıştır, bu da her proxy bağlantısına izin verir. Çekirdekler 7.93 ve 9.16 zaten bu parametreye sahiptir ve 1 olarak ayarlanması gerekirken, çekirdekler 7.22, 7.53, 7.54, 7.77 ve 8.04 çekirdek yamasıyla bu parametreyi kazanır. 9.20 ve 9.21 de bir çekirdek yaması alır. Yalnızca çekirdek yaması, kısıtlayıcı bir prxyinfo veya gw/acl_mode_proxy 1 olarak ayarlanmadan bir sistemi kapsam dışına çıkarmaz. Resmi bir geçici çözüm yoktur, ancak kısıtlayıcı bir prxyinfo, yama uygulanana kadar maruz kalmayı azaltır. Firma ayrıca ağ geçidi bağlantı noktalarını (33NN ve 48NN) RFC erişimine ihtiyaç duyan ana bilgisayarlarla sınırlamayı tavsiye eder.
• ICM (CVE-2026-76964): Geçersiz uzunluk alanlarına sahip WebSocket kontrol çerçeveleri, herhangi bir oturum açmadan önce bir yığın dışı yazmaya neden olur. SAP NetWeaver AS Java etkilenmez ve düzeltme dw.sar ve SP Stack Kernel aracılığıyla gönderilir. RedRays’in ICM analizine göre, kullanıcılar ICM’ye yalnızca bir Web Dispatcher aracılığıyla ulaşıyorsa, bu Web Dispatcher’ı SSS notu 3778788’deki seviyelere yamalamak şimdilik ICM’yi korur. Bu, yalnızca hiç kimsenin ICM bağlantı noktalarına doğrudan ulaşamaması durumunda geçerlidir. ICM2SHELL danışmanlığı, kalkanın bir yönlendirici olarak yapılandırılmış bir Web Dispatcher’da (PROT=ROUTER) çalışmadığını ekler. Ayrıca, 7.93 sürümünde daha yüksek bir yama seviyesinin her zaman düzeltilmiş bir seviye olmadığını da uyarır: yama seviyesi 419 hala savunmasızdır ve yalnızca güncellenmiş 401 Stack Kernel, piyasaya sürüldüğünde 402 ve 420 veya sonrası düzeltmeyi taşır. Son çare olarak WebSocket desteğini kapatmak hatayı engeller, ancak buna bağlı özellikleri bozar.
• Web Dispatcher (CVE-2026-89126): ICM açığı ile aynı temel nedene sahiptir. Bağımsız ve gömülü Web Dispatcher’ları etkiler, buna SAP HANA XS Classic ve XS Advanced’deki Web Dispatcher’lar da dahildir, ancak SAP Content Server’ı etkilemez. Firmanın Web Dispatcher analizi yama yollarını listeler: bağımsız örnekler için SAPWEBDISP.SAR, gömülü örnekler için dw.sar veya SP Stack Kernel, HANA XS Classic için SPS08 revizyon 089.05 veya SPS07 revizyon 079.11 ve XS Advanced için sürüm 1.5.4 veya sonrası. Yama uygulanana kadar WebSocket desteğini kapatmak işe yarar, ancak not bunun ABAP Push Kanallarını ve bazı Fiori özelliklerini etkilediğini uyarır. Önce her Web Dispatcher’ı bulun, çünkü kaçırılan bir örnek açığı açık bırakır.