Однофакторная аутентификация в SAP Message Server открывает путь к выполнению произвольного кода

Сервер сообщений SAP Message Server, входящий в интеграционную платформу SAP NetWeaver, пропускает запросы без полноценной проверки подлинности. Из-за этого удалённый злоумышленник может обойти аутентификацию и выполнить на сервере произвольный код. Уязвимость получила идентификатор CVE-2026-58240 и попала в Банк данных угроз безопасности информации (BDU) под номером BDU:2026-15064. Разработчик подтвердил проблему и уже закрыл её в обновлениях ядра. Под угрозой находятся организации, которые используют SAP NetWeaver для обмена данными между приложениями: промышленность, финансы, логистика, государственный сектор.

Детали уязвимости

Message Server - служебный компонент платформы. Он связывает между собой серверы приложений и распределяет нагрузку. Обычно этот компонент работает внутри корпоративной сети и не выставляется в интернет напрямую. Уязвимость относится к классу ошибок "применение однофакторной аутентификации" (CWE-308). Проще говоря, компонент полагается на один признак подлинности запроса вместо нескольких. Такой проверки оказывается недостаточно. Описание относит эксплуатацию к нарушению аутентификации, а следом открывается возможность выполнить код. Оценка по CVSS 3.1 составляет 9,8 из 10, по устаревшей шкале CVSS 2.0 - 10. Вектор атаки сетевой, сложность низкая, предварительная аутентификация не нужна, участие пользователя не требуется.

Данные об уязвимости опубликованы 8 сентября 2026 года. Речь идёт о ядрах SAP NetWeaver версий от 9.16 до 9.20. Именно такие ядра стоят на множестве действующих промышленных и корпоративных систем, которые годами не пересобирают. Поэтому исправление затрагивает не только свежие установки, но и унаследованные ландшафты. Крупные предприятия часто объединяют в один контур десятки связанных систем: управление производством, складами, финансами, персоналом. Message Server в такой схеме выступает общим узлом связи. Компромисс этого узла даёт злоумышленнику точку опоры внутри контура, откуда удобно развивать атаку дальше.

Рабочий эксплойт уже есть в открытом доступе. Для администраторов это означает простую вещь. Период, когда системы остаются незакрытыми, стал короче окна планового обслуживания. Если обновление откладывают до следующего регламентного цикла, оно может выйти уже после появления эксплойта. Наличие готового кода в открытом доступе не означает, что атаки идут массово. Однако порог входа для злоумышленника снижается: сложные навыки больше не нужны, хватает готового инструмента и доступа к сетевому порту компонента.

Практический риск зависит от того, как устроена сеть. Если Message Server доступен только из доверенного сегмента, злоумышленнику сначала нужно закрепиться внутри периметра. Тогда уязвимость превращается в инструмент бокового перемещения - способа перейти с одной машины на другую внутри сети. Если же компонент по недосмотру смотрит в интернет или в смежный сегмент с низким доверием, ситуация меняется. Внешний нарушитель может использовать ошибку напрямую, без промежуточных шагов. На практике такие отклонения от типовой схемы встречаются чаще, чем предполагают: системы вырастают стихийно, границы сегментов размываются, доступы накапливаются годами.

Обновление закрывает уязвимость. SAP опубликовала рекомендации в сентябрьском бюллетене безопасности 2026 года, исправленные ядра доступны в обычном порядке обслуживания. Администраторам стоит сверить версии ядра на всех серверах платформы, а не только на продуктивных. Тестовые и резервные контуры часто отстают на несколько циклов и при этом связаны с основной сетью. Если обновление невозможно сразу, разумно ограничить сетевой доступ к серверу сообщений: оставить только те узлы, которым он действительно нужен, и убрать маршруты из недоверенных сегментов. Полезно также проверить журналы на предмет необычных подключений к этому компоненту за последние недели. Аномальные запросы от неизвестных адресов или в нетипичное время заслуживают разбора.

Отдельного внимания требует вопрос приоритета. Не все системы равны. Первыми разумно закрывать те, где Message Server доступен из интернета или из сетей партнёров, а также те, что связаны с критичными бизнес-процессами: отгрузкой, расчётами, управлением оборудованием. Для внутренних изолированных ландшафтов допустимо более спокойное планирование, но только при уверенности в качестве сегментации. Проверить эту уверенность стоит до, а не после.

История с CVE-2026-58240 укладывается в общую линию. Служебные компоненты крупных платформ долго считались внутренними и потому безопасными. На деле они редко проходят такую же проверку, как внешние интерфейсы. Поэтому ошибки в них находят регулярно, а исправляют медленнее, ведь компонент не виден пользователям и не мешает работе. Между тем одна успешная эксплуатация такого узла обнуляет усилия по защите периметра. Скорость, с которой появляются эксплойты, превращает управление исправлениями из административной рутины в ключевую меру защиты.

Детали уязвимости

Ссылки