SAP biztonsági frissítés
Az SAP biztonsági frissítéscsomagja 35 új biztonsági közleményt, négy GitHub-figyelmeztetést és három korábbi közlemény módosítását tartalmazza. A javítások között kilenc kritikus besorolású sérülékenység szerepel, amelyek közül négy a maximális, 10,0-s CVSS-pontszámot kapta. A hibák több, üzletileg kritikus vállalati rendszer működését veszélyeztethetik.
A legsúlyosabb problémák az SAP NetWeaver alkalmazásszerver, a Web Dispatcher és az SAP Gateway komponenseit érintik. A CVE-2026-76964 és CVE-2026-89126 azonosítójú memóriakezelési hibák megfelelő hálózati hozzáférés esetén hitelesítés nélküli távoli kódfuttatást tehetnek lehetővé. A két sérülékenységet az Onapsis kutatói fedezték fel, és ICM2SHELL néven azonosították. Kihasználásukkal a támadó akár teljes ellenőrzést is szerezhet az érintett SAP-rendszer felett.
A szintén maximális súlyosságú CVE-2026-89103 az SAP Gateway hozzáférés-ellenőrzését érinti. Bizonyos konfigurációk mellett külső támadók megbízható alkalmazásszervernek adhatják ki magukat, és jogosulatlan műveleteket hajthatnak végre. A CVE-2026-120017 pedig az egyszeri bejelentkezést biztosító SAML2-hitelesítés hiányossága miatt akár rendszergazdai fiókok megszemélyesítését is lehetővé teheti.
További kritikus sérülékenységek érintik az ABAP alkalmazásszervert, a NetWeaver Knowledge Management és az S/4HANA CRM egyes komponenseit, valamint a BusinessObjects platformot. Ezek között parancs- és kódbefecskendezési, illetve jogosultságkezelési hibák is találhatók.
A sérülékenységek jelentőségét növeli, hogy az SAP-rendszerek számos vállalatnál pénzügyi, logisztikai és más alapvető üzleti folyamatokat támogatnak. Egy sikeres támadás ezért adatvesztést, jogosulatlan hozzáférést vagy jelentős működési fennakadást okozhat.
Az SAP a javítások mielőbbi telepítését javasolja. Kiemelt figyelmet igényelnek az internetről elérhető NetWeaver- és Web Dispatcher-rendszerek, valamint a Gateway és a SAML2-hitelesítés konfigurációi. A most javított legsúlyosabb hibák aktív kihasználásáról egyelőre nincs megerősített információ.
