В рамках ноябрьского Security Patch Day компания SAP выпустила исправления для четырёх уязвимостей, каждая из которых получила максимальную оценку CVSS 10.0. Все четыре уязвимости эксплуатируются без аутентификации и без взаимодействия пользователя. Затронуты ключевые компоненты SAP-инфраструктуры: сервер приложений SAP NetWeaver AS ABAP (Internet Communication Manager, SAML2-провайдер, SAP Gateway) и SAP Web Dispatcher. Две уязвимости связаны с повреждением памяти и потенциально позволяют выполнить произвольный код, одна — обойти аутентификацию SAML и войти под любым пользователем, ещё одна — получить привилегии внутреннего сервера через SAP Gateway. Патчи доступны через ноябрьский бюллетень безопасности SAP, и вендор рекомендует применить их в приоритетном порядке.
Технические детали уязвимостей
Повреждение памяти в ICM и Web Dispatcher (CVE-2026-76964, CVE-2026-89126)
Уязвимости CVE-2026-76964 и CVE-2026-89126 имеют общую первопричину: некорректно сформированные управляющие кадры WebSocket с невалидной длиной поля вызывают запись за пределами выделенной области кучи (heap out-of-bounds write). Атака происходит до какой-либо аутентификации — достаточно сетевого доступа к уязвимому компоненту. По данным анализа, успешная эксплуатация потенциально позволяет выполнить произвольный код и полностью скомпрометировать систему.
Затронутые версии ядра для CVE-2026-76964 (ICM): KRNL64UC 7.53; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20. SAP NetWeaver AS Java не затронут.
Для CVE-2026-89126 (Web Dispatcher) область шире: помимо аналогичных версий ядра затронуты автономные и встроенные экземпляры Web Dispatcher, включая развёртывания SAP HANA XS Classic и XS Advanced. SAP Content Server не затронут. Полный перечень: HDB 2.00; KRNL64UC 7.53; WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20.
Исправления поставляются через SAP Note 3778530 (ICM) и SAP Note 3778556 (Web Dispatcher).
Обход аутентификации SAML2 (CVE-2026-120017)
Уязвимость CVE-2026-120017 затрагивает SAML2-провайдер в SAP NetWeaver AS ABAP и ABAP Platform. По данным исследователей, при определённых конфигурациях провайдер не проверял подписи входящих SAML-утверждений (assertions). Это позволяет атакующему подделать аутентификационные данные и войти в систему под произвольным пользователем, включая привилегированные учётные записи. Полная компрометация системы может распространиться на связанные SAP-системы.
Затронутые версии SAP_BASIS: 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920, 921, 922. Обходного решения не существует — единственный путь устранения описан в SAP Note 3849308.
Стоит отметить, что в июне 2026 года SAP уже исправляла уязвимость SAML в том же компоненте — CVE-2026-44748 (XML Signature Wrapping), которая, однако, требовала наличия обычной учётной записи. Мы уже писали об этой уязвимости ранее. Новая уязвимость CVE-2026-120017 опаснее: она не требует никаких учётных данных.
Нарушение контроля доступа в SAP Gateway (CVE-2026-89103)
Уязвимость CVE-2026-89103 связана с поведением списков контроля доступа (ACL) в SAP Gateway. Когда файлы secinfo и reginfo не содержат явных правил или полагаются на ключевое слово internal host, шлюз применяет правила по умолчанию с высокими привилегиями. Внешний атакующий может быть классифицирован системой как один из внутренних серверов приложений, что, по данным исследователей, открывает стандартные пути атаки через Gateway вплоть до выполнения команд.
Затронутые версии ядра: KRNL64NUC 7.22, 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53, 8.04; KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21. Исправление — в SAP Note 3798345.
Два трека устранения — не один
Анализ затронутых компонентов показывает, что четыре уязвимости делятся на два независимых трека устранения. Уязвимости ICM (CVE-2026-76964) и Web Dispatcher (CVE-2026-89126) устраняются через координированное обновление ядра и всех экземпляров Web Dispatcher. По данным анализа RedRays, это обновление должно покрывать все 17 ноябрьских исправлений для ядра и Web Dispatcher. Однако уязвимости SAML2 (CVE-2026-120017) и Gateway (CVE-2026-89103) требуют отдельных корректировок на уровне AS ABAP и конфигурации Gateway. Обновление только периметрового компонента Web Dispatcher не закрывает все четыре проблемы.
Дополнительный нюанс для CVE-2026-76964: патч Web Dispatcher может временно защитить ICM от эксплуатации через WebSocket, но только при условии, что порты ICM недоступны напрямую из пользовательских сетей или интернета. Если прямой доступ к портам ICM существует, патчить нужно и ICM отдельно.
Практические рекомендации
- SAML2 (CVE-2026-120017): Все системы AS ABAP, использующие SAML2 для браузерного входа (Fiori Launchpad, Web GUI за провайдером идентификации), следует считать затронутыми до подтверждения обратного. Обходного решения нет — необходимо применить SAP Note 3849308. После патчинга рекомендуется проверить все доверенные провайдеры идентификации в транзакции SAML2 и проанализировать журналы аудита на предмет SAML-входов привилегированных пользователей из неожиданных источников.
- Gateway (CVE-2026-89103): После применения SAP Note 3798345 установите параметр профиля
gw/acl_mode_proxy(для ядер до 7.77; в ядрах от 7.93 он уже присутствует). Убедитесь, чтоgw/acl_modeравен 1, что secinfo и reginfo содержат явные правила, и что порт Gateway (33xx) недоступен из пользовательских сетей и интернета. - ICM (CVE-2026-76964): Обновите ядро через dw.sar или SP Stack Kernel. Отключение поддержки WebSocket блокирует уязвимость, но нарушает функциональность, зависящую от WebSocket.
- Web Dispatcher (CVE-2026-89126): Проведите инвентаризацию всех экземпляров Web Dispatcher — автономных, встроенных, в составе HANA XS. Один пропущенный экземпляр оставляет уязвимость открытой. Для автономных — SAPWEBDISP.SAR, для встроенных — dw.sar или SP Stack Kernel, для HANA XS Classic — SPS08 revision 089.05 или SPS07 revision 079.11, для XS Advanced — версия 1.5.4 и выше.
Информации о фактической эксплуатации этих уязвимостей на момент публикации нет, однако максимальная оценка CVSS 10.0, отсутствие требований к аутентификации и широкий охват затронутых версий делают эти уязвимости приоритетными для немедленного устранения. Организациям, использующим SAP NetWeaver, следует спланировать координированное обновление ядра и Web Dispatcher в сочетании с отдельными исправлениями для SAML2 и Gateway — и выполнить его в ближайшем окне обслуживания.
