Wprowadzenie do problemu / definicja
SAP opublikował poprawki eliminujące cztery krytyczne podatności ocenione na maksymalne 10.0 w skali CVSS. Luki dotyczą komponentów powszechnie wykorzystywanych w środowiskach enterprise, w tym SAP NetWeaver AS ABAP, SAP Web Dispatcher, SAP Gateway oraz mechanizmu SAML 2.0 Service Provider. Najgroźniejsze scenariusze obejmują zdalne wykonanie kodu bez uwierzytelnienia, przejęcie sesji logowania oraz możliwość wykonywania nieautoryzowanych działań w krajobrazie SAP.
W skrócie
Listopadowy Security Patch Day SAP przyniósł poprawki dla czterech błędów o najwyższej możliwej ocenie ryzyka. Dwie podatności mogą prowadzić do zdalnego wykonania kodu przez sieć, jedna umożliwia logowanie jako dowolny użytkownik w określonych konfiguracjach SAML, a kolejna pozwala podszyć się pod zaufany serwer aplikacyjny. Ponieważ problem dotyczy systemów o wysokiej wartości biznesowej, wdrożenie poprawek powinno zostać potraktowane priorytetowo.
Kontekst / historia
Podatności zostały ujawnione w ramach comiesięcznego cyklu publikacji poprawek SAP. Trzy z nich dotyczą stosu NetWeaver, który pozostaje fundamentem wielu wdrożeń ERP, aplikacji biznesowych i usług integracyjnych. Jeden z błędów obejmuje SAP Web Dispatcher, czyli warstwę pośredniczącą przyjmującą ruch HTTP i HTTPS oraz przekazującą go do zaplecza SAP.
Z perspektywy bezpieczeństwa szczególnie istotne jest to, że luki obejmują zarówno komponenty frontowe, jak i mechanizmy komunikacji wewnętrznej oraz federacji tożsamości. W praktyce zwiększa to ryzyko nie tylko kompromitacji pojedynczego hosta, ale również ruchu bocznego, nadużycia uprawnień i naruszenia połączonych systemów biznesowych.
- CVE-2026-76964 w Internet Communication Manager (ICM),
- CVE-2026-89126 w SAP Web Dispatcher,
- CVE-2026-89103 w SAP Gateway,
- CVE-2026-120017 w SAML2 Service Provider dla SAP NetWeaver AS ABAP i ABAP Platform.
Analiza techniczna
Najpoważniejsze są dwie podatności prowadzące do zdalnego wykonania kodu: CVE-2026-76964 oraz CVE-2026-89126. Obie wiążą się z obsługą ruchu sieciowego i logiką odpowiedzialną za składanie dzielonych komunikatów WebSocket. Odpowiednio spreparowany ruch może doprowadzić do naruszenia pamięci, a w konsekwencji do uruchomienia kodu na poziomie systemu operacyjnego. Oznacza to możliwość pełnej kompromitacji hosta SAP bez konieczności logowania.
Dodatkowym problemem jest fakt, że obsługa WebSocket może być aktywna domyślnie. W rezultacie podatność może występować także tam, gdzie organizacja nie korzysta świadomie z funkcji opartych na tym mechanizmie. W środowiskach wykorzystujących SAP Web Dispatcher skutkiem udanego ataku może być zarówno wykonanie kodu, jak i awaria komponentu frontowego prowadząca do niedostępności usług.
CVE-2026-120017 dotyczy mechanizmu SAML 2.0. W określonych konfiguracjach dostawca usług nieprawidłowo weryfikuje podpisy przychodzących asercji, co może umożliwić zalogowanie się jako dowolny użytkownik, w tym użytkownik uprzywilejowany. W środowiskach opartych na federacji tożsamości może to przełożyć się na szybkie przejęcie dostępu do krytycznych funkcji biznesowych.
CVE-2026-89103 obejmuje SAP Gateway i mechanizmy kontroli połączeń zewnętrznych. Problem dotyczy konfiguracji proxy, w tym pliku prxyinfo oraz parametru gw/acl_mode_proxy. Przy niebezpiecznych ustawieniach zewnętrzny atakujący może zostać potraktowany jak zaufany serwer aplikacyjny SAP, co otwiera drogę do wykonywania nieautoryzowanych operacji w środowisku aplikacyjnym.
Znaczenie ma również zakres wersyjny problemu. Część podatności dotyczy wielu linii kerneli i komponentów, a systemy pozostające poza wsparciem producenta mogą wymagać nie tylko samej łaty, ale również aktualizacji do wspieranej wersji.
Konsekwencje / ryzyko
Ryzyko biznesowe i operacyjne należy ocenić jako bardzo wysokie. Podatności z oceną CVSS 10.0, możliwe do wykorzystania bez uwierzytelnienia i bez interakcji użytkownika, powinny zostać potraktowane jako incydent klasy krytycznej w procesie zarządzania poprawkami.
- pełne przejęcie serwera SAP przez zdalne wykonanie kodu,
- przejęcie kont uprzywilejowanych przez nadużycie mechanizmu SAML,
- nieautoryzowane działania integracyjne przez SAP Gateway,
- zakłócenie dostępności usług biznesowych,
- ruch boczny do innych systemów SAP i środowisk zintegrowanych,
- utrata poufności, integralności i dostępności danych biznesowych.
Szczególnie zagrożone są organizacje, które udostępniają SAP Web Dispatcher do internetu, korzystają z jednokrotnego logowania SAML w systemach ABAP, utrzymują słabo ograniczone reguły ACL dla Gateway albo nadal eksploatują starsze, niewspierane wersje komponentów SAP.
Rekomendacje
W pierwszej kolejności organizacje powinny niezwłocznie wdrożyć oficjalne poprawki SAP i potwierdzić, że objęły one wszystkie instancje produkcyjne, testowe oraz środowiska zapasowe. Kluczowe jest podejście obejmujące cały krajobraz SAP, a nie jedynie pojedyncze systemy.
- zinwentaryzować wszystkie instancje SAP NetWeaver, Web Dispatcher, Gateway oraz komponenty korzystające z SAML2,
- zastosować poprawki dla wszystkich podatnych wersji kerneli i warstw pośredniczących,
- sprawdzić, czy instancje ICM lub Web Dispatcher są osiągalne z sieci niezaufanych,
- przejrzeć konfigurację SAML2 oraz logi logowań użytkowników uprzywilejowanych,
- zweryfikować ustawienia prxyinfo i parametru gw/acl_mode_proxy w SAP Gateway,
- ograniczyć dostęp do portów Gateway wyłącznie do niezbędnych hostów i segmentów sieci,
- upewnić się, że nie pominięto instancji embedded i komponentów uruchamianych w ramach innych produktów SAP,
- rozważyć czasowe wyłączenie WebSocket tam, gdzie jest to bezpieczne biznesowo, jeśli wdrożenie poprawki wymaga okna serwisowego.
Z perspektywy detekcji warto dodatkowo monitorować nietypowy ruch HTTP, HTTPS i WebSocket do komponentów SAP, restarty lub awarie Web Dispatcher i ICM, podejrzane logowania SAML, zmiany w konfiguracji Gateway oraz uruchomienia poleceń systemowych przez konta administracyjne instancji SAP.
Podsumowanie
Listopadowe poprawki SAP usuwają zestaw wyjątkowo groźnych podatności obejmujących warstwę komunikacyjną, federację tożsamości i mechanizmy integracyjne. Dwie luki pozwalają na zdalne wykonanie kodu bez logowania, jedna umożliwia przejęcie tożsamości użytkownika przez SAML, a kolejna nadużycie zaufania w SAP Gateway. Dla organizacji korzystających z SAP oznacza to konieczność natychmiastowej walidacji ekspozycji, wdrożenia łatek oraz przeglądu konfiguracji bezpieczeństwa.
Źródła
- The Hacker News – SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Execution — https://thehackernews.com/2026/11/sap-patches-four-cvss-100-flaws.html
- SAP Security Patch Day – November 2026 — https://support.sap.com/en/my-support/knowledge-base/security-notes-news/november-2026.html
- Onapsis – ICM2SHELL Advisory — https://onapsis.com/blog/icm2shell/
- Onapsis – PROXYGATE Advisory — https://onapsis.com/blog/proxygate/
- RedRays – SAP November 2026 Patch Day Analysis — https://redrays.io/blog/sap-november-2026-patch-day-analysis/