У межах листопадового Security Patch Day компанія SAP випустила виправлення для чотирьох вразливостей, кожна з яких отримала максимальну оцінку CVSS 10.0. Усі чотири вразливості експлуатуються без автентифікації та без взаємодії з користувачем. Уражено ключові компоненти SAP-інфраструктури: сервер застосунків SAP NetWeaver AS ABAP (Internet Communication Manager, SAML2-провайдер, SAP Gateway) і SAP Web Dispatcher. Дві вразливості пов’язані з пошкодженням пам’яті та потенційно дають змогу виконати довільний код, одна — обійти автентифікацію SAML і увійти під будь-яким користувачем, ще одна — отримати привілеї внутрішнього сервера через SAP Gateway. Патчі доступні через листопадовий бюлетень безпеки SAP, і вендор рекомендує застосувати їх у пріоритетному порядку.
Технічні деталі вразливостей
Пошкодження пам’яті в ICM і Web Dispatcher (CVE-2026-76964, CVE-2026-89126)
Вразливості CVE-2026-76964 та CVE-2026-89126 мають спільну першопричину: некоректно сформовані керувальні кадри WebSocket з невалідною довжиною поля призводять до запису за межі виділеної області купи (heap out-of-bounds write). Атака відбувається до будь-якої автентифікації — достатньо мережевого доступу до вразливого компонента. За даними аналізу, успішна експлуатація потенційно дає змогу виконати довільний код і повністю скомпрометувати систему.
Уражені версії ядра для CVE-2026-76964 (ICM): KRNL64UC 7.53; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20. SAP NetWeaver AS Java не вразливий.
Для CVE-2026-89126 (Web Dispatcher) область ураження ширша: окрім аналогічних версій ядра, уразливі автономні та вбудовані екземпляри Web Dispatcher, зокрема розгортання SAP HANA XS Classic та XS Advanced. SAP Content Server не вразливий. Повний перелік: HDB 2.00; KRNL64UC 7.53; WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; KERNEL 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20.
Виправлення постачаються через SAP Note 3778530 (ICM) і SAP Note 3778556 (Web Dispatcher).
Обхід автентифікації SAML2 (CVE-2026-120017)
Вразливість CVE-2026-120017 стосується SAML2-провайдера в SAP NetWeaver AS ABAP і ABAP Platform. За даними дослідників, за певних конфігурацій провайдер не перевіряв підписи вхідних SAML-стверджень (assertions). Це дає змогу зловмиснику підробити автентифікаційні дані та увійти в систему під довільним користувачем, включно з привілейованими обліковими записами. Повна компрометація системи може поширитися на пов’язані SAP-системи.
Уражені версії SAP_BASIS: 702, 731, 740, 750, 751, 752, 753, 754, 755, 756, 757, 758, 816, 920, 921, 922. Тимчасового рішення не існує — єдиний шлях усунення описано в SAP Note 3849308.
Варто зазначити, що в червні 2026 року SAP уже виправляла вразливість SAML у тому ж компоненті — CVE-2026-44748 (XML Signature Wrapping), яка, утім, вимагала наявності звичайного облікового запису. Ми вже писали про цю вразливість раніше. Нова вразливість CVE-2026-120017 небезпечніша: вона не вимагає жодних облікових даних.
Порушення контролю доступу в SAP Gateway (CVE-2026-89103)
Вразливість CVE-2026-89103 пов’язана з поведінкою списків контролю доступу (ACL) у SAP Gateway. Коли файли secinfo та reginfo не містять явних правил або покладаються на ключове слово internal host, шлюз застосовує стандартні правила з високими привілеями. Зовнішній зловмисник може бути класифікований системою як один із внутрішніх серверів застосунків, що, за даними дослідників, відкриває стандартні шляхи атаки через Gateway аж до виконання команд.
Уражені версії ядра: KRNL64NUC 7.22, 7.22EXT; KRNL64UC 7.22, 7.22EXT, 7.53, 8.04; KERNEL 7.22, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20, 9.21. Виправлення — у SAP Note 3798345.
Два треки усунення — не один
Аналіз уражених компонентів показує, що чотири вразливості поділяються на два незалежні треки усунення. Вразливості ICM (CVE-2026-76964) і Web Dispatcher (CVE-2026-89126) усуваються через скоординоване оновлення ядра та всіх екземплярів Web Dispatcher. За даними аналізу RedRays, це оновлення має покривати всі 17 листопадових виправлень для ядра та Web Dispatcher. Водночас вразливості SAML2 (CVE-2026-120017) і Gateway (CVE-2026-89103) вимагають окремих коригувань на рівні AS ABAP і конфігурації Gateway. Оновлення лише периметрового компонента Web Dispatcher не закриває всі чотири проблеми.
Додатковий нюанс для CVE-2026-76964: патч Web Dispatcher може тимчасово захистити ICM від експлуатації через WebSocket, але лише за умови, що порти ICM недоступні безпосередньо з користувацьких мереж або інтернету. Якщо прямий доступ до портів ICM існує, потрібно окремо встановити патчі й для ICM.
Практичні рекомендації
- SAML2 (CVE-2026-120017): Усі системи AS ABAP, що використовують SAML2 для браузерного входу (Fiori Launchpad, Web GUI за провайдером ідентифікації), слід вважати вразливими, доки не буде підтверджено протилежне. Тимчасового рішення немає — необхідно застосувати SAP Note 3849308. Після патчинга рекомендовано перевірити всіх довірених провайдерів ідентифікації в транзакції SAML2 та проаналізувати аудиторські журнали на предмет SAML-входів привілейованих користувачів із неочікуваних джерел.
- Gateway (CVE-2026-89103): Після застосування SAP Note 3798345 встановіть параметр профілю
gw/acl_mode_proxy(для ядер до 7.77; у ядрах від 7.93 він уже присутній). Переконайтеся, щоgw/acl_modeдорівнює 1, що secinfo та reginfo містять явні правила, і що порт Gateway (33xx) недоступний із користувацьких мереж та інтернету. - ICM (CVE-2026-76964): Оновіть ядро через dw.sar або SP Stack Kernel. Вимкнення підтримки WebSocket блокує вразливість, але порушує функціональність, що залежить від WebSocket.
- Web Dispatcher (CVE-2026-89126): Проведіть інвентаризацію всіх екземплярів Web Dispatcher — автономних, вбудованих, у складі HANA XS. Один пропущений екземпляр залишає вразливість відкритою. Для автономних — SAPWEBDISP.SAR, для вбудованих — dw.sar або SP Stack Kernel, для HANA XS Classic — SPS08 revision 089.05 або SPS07 revision 079.11, для XS Advanced — версія 1.5.4 і вище.
Інформації про фактичну експлуатацію цих вразливостей на момент публікації немає, однак максимальна оцінка CVSS 10.0, відсутність вимог до автентифікації та широкий охоплення уражених версій роблять ці вразливості пріоритетними для негайного усунення. Організаціям, що використовують SAP NetWeaver, варто спланувати скоординоване оновлення ядра та Web Dispatcher у поєднанні з окремими виправленнями для SAML2 і Gateway — і виконати його в найближче вікно обслуговування.
