SAP выпустила ноябрьский набор исправлений для корпоративных продуктов. Четыре уязвимости позволяют обойтись без учётных данных и без участия пользователя. Они затрагивают Internet Communication Manager в NetWeaver AS ABAP, Web Dispatcher, SAP Gateway и SAML2 Service Provider. Последствия успешной атаки выходят за пределы уязвимого компонента.
Что объединяет четыре максимальные оценки
Десятого ноября 2026 года SAP опубликовала 35 новых уведомлений о безопасности и четыре уведомления в GitHub по библиотекам. Плюс три обновления к заметкам, выпущенным раньше. Компания публикует исправления во второй вторник месяца и просит считать их установку приоритетом.
Все четыре записи с оценкой 10,0 описывает один вектор. Атака идёт по сети, сложность низкая, привилегии и участие пользователя не нужны. Область действия шире уязвимого компонента - поэтому высокие оценки получили конфиденциальность, целостность и доступность. Готовых эксплойтов и описания последовательности атак в бюллетене нет.
Что даёт каждая из четырёх
CVE-2026-76964 - порча памяти в Internet Communication Manager. Специально собранный сетевой трафик повреждает память, а дальше открывается путь к выполнению произвольного кода и полной компрометации системы. CVE-2026-89126 описывает порчу памяти в Web Dispatcher, включая компоненты ядра, HANA и extended application services.
CVE-2026-89103 касается контроля доступа в SAP Gateway. Список управления доступом по умолчанию наделяет внешнего клиента правами внутреннего сервера приложений, поэтому атакующий с сетевым доступом действует как доверенная система. CVE-2026-120017 - отсутствие проверки входящих утверждений аутентификации в SAML2 Service Provider. Подделав утверждение, можно выдать себя за любого пользователя, включая привилегированного.
Инъекции кода и проверки полномочий
Три уведомления получили 9,9. В Knowledge Management XML Forms недостаточно ограничен выбор XSL-преобразований: пользователь с доступом к функции запускает произвольный код. В ABAP Application Server не хватает проверки полномочий для внутренней функции, поэтому пользователь с низкими привилегиями выполняет команды операционной системы на хосте. В S4CRM отсутствует проверка полномочий в удалённо доступной функции. Во всех трёх случаях нужны низкие привилегии, участие пользователя не требуется.
Ещё одна заметка с оценкой 9,6 закрывает межсайтовую подделку запроса в Web Dispatcher и Internet Communication Manager. Привилегии не нужны, зато администратор должен перейти по ссылке. Уязвимость XML external entity (XXE) в BusinessObjects Web Intelligence оценена в 9,1: нужны учётные данные, зато открывается чтение файлов на сервере и доступ к внутренним системам.
Отдельная группа исправлений закрывает отказ в обслуживании, порчу памяти, отсутствие аутентификации и раскрытие информации в Message Server, Internet Graphics Service и компонентах ABAP. Это разные находки, и порча памяти в них не означает выполнения кода: часть записей ограничивается падением процесса. Различить доступность и полную компрометацию важно при расстановке приоритетов.
SDK, библиотеки и обновления прошлых месяцев
В SAP Cloud SDK for Python до версии 0.63.1 компонент IASContextProvider читал идентификаторы арендатора и пользователя из токена, не проверяя подпись. Подписанный самим атакующим токен называл чужую организацию, и подставная личность расходилась по журналам, трассировкам и событиям аудита. Версия 0.63.1 проверяет подпись по набору ключей. Если проверка не проходит, контекст остаётся пустым - отказ в сторону запрета.
Рядом ещё три библиотечные записи. Обход пути в модуле agent memory того же SDK закрыт в 0.50.0 и позволял добраться до чужих секретов. SAP Cloud SDK for AI для JavaScript раскрывал учётные данные в сообщениях об ошибках до версии 2.17.0. В SAP/astonish до 3.6.0 пользователь мог выйти за пределы своей песочницы.
Есть и обновления к прошлым месяцам. SAP пересмотрела уведомления по WebClient UI и GUI for HTML, поэтому системы с уже установленными исправлениями всё равно требуют проверки.
Сверять установленные версии нужно по каждому применимому уведомлению, начиная с четырёх максимальных и остальных критических. Список затронутых версий не заменяет инструкцию по установке: порядок действий описан в самой заметке. Для продуктовых записей CVE исправленная версия не указана - SAP приводит её только в уведомлении. Бюллетень не сообщает об эксплуатации этих уязвимостей в реальных атаках.
Ссылки
- https://support.sap.com/en/my-support/knowledge-base/security-notes-news/november-2026.html
- https://github.com/SAP/cloud-sdk-python/security/advisories/GHSA-93m8-crj2-v997
