SAP, NetWeaver ve Gateway’de dört kritik açığı yamaladı

Anasayfa » SAP, NetWeaver ve Gateway’de dört kritik açığı yamaladı
Açık Yönetimi, Kurumsal Yazılım, Siber Güvenlik
Kasım 10, 2026Kasım 10, 2026Tarafından Cybernews.TR Editöryal Ekibi
0
SAP, NetWeaver ve Gateway’de dört kritik açığı yamaladı

SAP, 10 Kasım’da yayımladığı aylık güvenlik bülteninde NetWeaver ve Gateway bileşenlerini etkileyen dört kritik açığı kapattı. Dört zafiyetin de CVSS puanı 10.0 olarak açıklandı; ikisi uzaktan kod çalıştırmaya, biri kimlik doğrulama atlatmaya, biri de erişim kontrolünü aşmaya izin verebilecek koşullar yaratıyor.

Açıkların üçü SAP NetWeaver uygulama sunucusunda, biri ise internetten gelen web isteklerini karşılayıp ilgili sunucuya yönlendiren SAP Web Dispatcher üzerinde yer alıyor. SAP, bu yamaların öncelikli uygulanmasını istiyor.

En riskli iki açık, ağ üzerinden kod çalıştırmaya giden yolu açıyor

Şirketin duyurusuna göre CVE-2026-76964 numaralı açık, Internet Communication Manager (ICM) bileşeninde bulunuyor ve SAP NetWeaver AS ABAP içinde çalışıyor. Etkilenen sürümler arasında KRNL64UC 7.53, KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 ve 9.20 yer alıyor. SAP bu zafiyeti kritik olarak sınıflandırdı ve puanını 10.0 olarak verdi. Güvenlik güncellemesi 3778530 numaralı not üzerinden sunuluyor. NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-76964

Bir diğer kritik açık, CVE-2026-89126, SAP Web Dispatcher’da ortaya çıktı. HDB 2.00, KRNL64UC 7.53, WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16, XS_ADVANCED_RUNTIME 1.00, SAP_EXTENDED_APP_SERVICES 1 ve KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20 sürümleri bu hatadan etkileniyor. Bu açık için de SAP Note 3778556 yayımlandı ve CVSS skoru 10.0 olarak bildirildi. NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-89126

Yayınlanan teknik açıklamalara göre ICM ve Web Dispatcher’daki bu iki zafiyet, ağ üzerinden gönderilen özel hazırlanmış trafikle bellek bozulmasına yol açabiliyor. Saldırgan başarılı olursa kod çalıştırma ve sistemin tamamen ele geçirilmesi mümkün hale gelebiliyor. Araştırmayı yapan Onapsis, iki açığın aynı kök nedene dayandığını ve çekirdek kodundaki ortak WebSocket yeniden birleştirme mantığından kaynaklandığını belirtiyor. Şirketin vendor ile paylaştığı çalışan istismar, işletim sistemi komutlarının adm hesabı altında çalıştırılabildiğini gösterdi. Bu hesap, SAP kurulumuna sahip olan yerel yönetici hesabı olarak kullanılıyor.

Onapsis’e göre saldırı için kullanıcı etkileşimi gerekmiyor. WebSocket desteği varsayılan olarak açık geldiği için, ilgili özellik aktif biçimde kullanılmasa bile sistem maruz kalabiliyor. Ayrıca dual-stack sistemler de ABAP yığını üzerinden etkileniyor. Araştırmacılar, bu açığın sahada kötüye kullanıldığını henüz görmediklerini aktardı.

SAP, 10 Kasım 2026 tarihli güvenlik güncellemesinde toplam 35 yeni güvenlik notu ve 4 GitHub güvenlik duyurusu yayımladı. Aynı gün üç eski not da güncellendi. Kritik seviyedeki dört bulgunun tamamı, kurumun SAP ortamlarında öncelikle yamalanması gereken açıklar arasında yer aldı.

Gateway ve SAML2 tarafında yetki atlatma riski

Üçüncü kritik açık CVE-2026-89103, SAP Gateway bileşeninde bulunuyor. Etkilenen sürümler KRNL64NUC 7.22, 7.22EXT, KRNL64UC 7.22, 7.22EXT, 7.53, 8.04 ve KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20 ve 9.21 olarak listelendi. Güvenlik notu 3798345 üzerinden yayımlandı ve bu açık da 10.0 CVSS puanı aldı. NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-89103

Gateway, dış programların hangi sistemlere bağlanabileceğini, hangi programları başlatabileceğini ve hangi bağlantıları başkaları adına iletebileceğini erişim kontrol listeleriyle belirliyor. Araştırmacıların anlattığı senaryoda CVE-2026-89103, varsayılan proxy listesini yüksek ayrıcalıkla devreye sokuyor ve dışarıdan gelen bir saldırganın sistemin kendi uygulama sunucularından biri gibi görülmesine yol açabiliyor. Bu durumda saldırgan, uygulama ortamında yetkisiz işlemler yapabiliyor. Onapsis, bu açığa PROXYGATE adını verdi.

Şirketin açıklamasına göre saldırının etkisi prxyinfo adlı proxy listesine ya da bu listenin bulunmadığı durumlarda gw/acl_mode_proxy profil parametresine bağlı. Araştırmacılar, çoğu sertleştirme rehberinin odaklandığı secinfo ve reginfo listelerinin burada belirleyici olmadığını vurguluyor. Uygun proxy ayarları varsa hazırlanmış istekler, dışarıdaki saldırganı sistemin kendi uygulama sunucularından biri gibi gösteriyor ve bu noktadan sonra saldırgan adına adm hesabıyla işletim sistemi komutları çalıştırılabiliyor. Bu açık, gateway çalışan her sistemde geçerli; AS Java, dual-stack ve bağımsız gateway kurulumları da kapsamda. Araştırmacılar istismarı baştan sona gösteren bir proof of concept’i SAP ile paylaştıklarını, ancak açığın saldırılarda kullanıldığını görmediklerini söyledi. NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-89103

Gateway tarafında öne çıkan bir ayrıntı da şu: Açığın etkisi, yalnızca patch seviyesine değil, prxyinfo dosyasının içeriğine veya gw/acl_mode_proxy ayarına da bağlı. Onapsis, internetten erişilebilen gateway’lerde özellikle proxy listesinin sıkılaştırılmasını ve 33NN ile 48NN portlarının yalnızca RFC erişimi gereken ana bilgisayarlara açılmasını öneriyor.

Dördüncü kritik açık CVE-2026-120017, SAP NetWeaver AS ABAP ve ABAP Platform’daki SAML2 service provider katmanında yer alıyor. Etkilenen SAP_BASIS sürümleri 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920, 921 ve 922 olarak listelendi. Bu zafiyet için SAP Note 3849308 yayımlandı. NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-120017

Bu açık, bazı sistemlerde gelen SAML onaylarının imzasını kontrol etmeyen bir yapılandırmadan doğuyor. SAP’ye göre saldırgan, etkilenen kurulumlarda herhangi bir kullanıcı gibi oturum açabiliyor; bazı ortamlarda ayrıcalıklı kullanıcılarla giriş yapmak da mümkün hale gelebiliyor. Bunun ardından tam sistem ele geçirme zinciri başlayabiliyor ve bağlantılı diğer sistemlere sıçrama riski doğabiliyor. Aynı yazılım ailesinde bulunan ve 9 Haziran’da yamalanan CVE-2026-44748 ise normal bir kullanıcı hesabı gerektiriyordu.

SAML2 tarafında herhangi bir geçici çözüm sunulmadı. SAP, düzeltme talimatlarının ya da listelenen destek paketinin tek çözüm olduğunu bildiriyor. Güvenlik ekiplerine dönük teknik notlarda, transaction SAML2 içindeki tüm güvenilen identity provider kayıtlarının gözden geçirilmesi ve ayrıcalıklı kullanıcıların beklenmedik kaynaklardan yaptığı SAML oturum açmalarının loglarda kontrol edilmesi öneriliyor.

Araştırmacılar, ICM ve Web Dispatcher açıklarının etkilediği çekirdek sürümler arasında bakım dışı kalanların da bulunduğunu aktardı. Onapsis’in ICM2SHELL notunda 7.40, 7.41, 7.42, 7.45, 7.49, 7.73, 7.81, 7.85 ve 7.89 sürümleri listeleniyor. Aynı kurumun PROXYGATE duyurusunda ise bu sürümlere ek olarak 7.20 ve 7.21 de yer alıyor. Bu sürümler için düzeltme gelmeyebileceği, bu nedenle desteklenen bir sürüme yükseltme yapılması gerektiği belirtiliyor.

RedRays, 10 Kasım’daki Patch Day incelemesinde kernel ve tüm Web Dispatcher örneklerinin tek bir rollout içinde güncellenmesini tavsiye etti. Şirket, bu aylık yama setindeki 17 kernel ve Web Dispatcher düzeltmesini kapsayan sürümlere ulaşılması gerektiğini belirtti. Web Dispatcher tarafında yama yolları da kurulum tipine göre değişiyor: bağımsız örneklerde SAPWEBDISP.SAR, gömülü kurulumlarda dw.sar ya da SP Stack Kernel, SAP HANA XS Classic’te SPS08 revizyon 089.05 veya SPS07 revizyon 079.11, XS Advanced tarafında ise 1.5.4 ve üzeri sürümler öne çıkıyor.

RedRays’in notuna göre WebSocket desteğini kapatmak, yamalar uygulanana kadar geçici bir önlem olarak işe yarayabiliyor. Ancak bu yöntem ABAP Push Channels ve bazı Fiori özelliklerini etkiliyor. Ayrıca Web Dispatcher’ın router olarak yapılandırıldığı PROT=ROUTER senaryosunda bu korumanın geçerli olmadığı da araştırmacıların uyarıları arasında yer aldı.

SAP, bulguların 10 Kasım 2026’da yayımlanan güvenlik bülteninde duyurulduğunu ve dört kritik açığın ayrı güvenlik notlarıyla kapatıldığını bildirdi. Şirket, müşterilere support portal üzerinden yamaları öncelikli olarak uygulamalarını tavsiye ediyor.

Kaynaklar

, , , , ,