Co się wydarzyło
Cztery noty z oceną 10,0 obejmują warstwę komunikacyjną i logowanie. Dwie dotyczą uszkodzenia pamięci: CVE-2026-76964 w Internet Communication Managerze (ICM) serwera SAP NetWeaver AS ABAP oraz CVE-2026-89126 w SAP Web Dispatcherze. Trzecia, CVE-2026-89103, to błąd kontroli dostępu w SAP Gateway. Według opisu w NVD domyślna lista kontroli dostępu ma wysokie uprawnienia i pozwala zewnętrznemu napastnikowi zostać potraktowanym jak wewnętrzny serwer aplikacyjny.
Czwarta, CVE-2026-120017, dotyczy usługi SAML2 Service Provider w NetWeaver AS ABAP i ABAP Platform. NVD podaje, że w określonych konfiguracjach system niedostatecznie weryfikuje przychodzące asercje uwierzytelniające. Nieuwierzytelniony napastnik może wtedy ominąć logowanie i podszyć się pod dowolnego użytkownika, także uprzywilejowanego.
Wektor CVSS wszystkich czterech luk opisuje atak przez sieć, bez uprawnień i bez udziału użytkownika. Onapsis, cytowany przez Infosecurity Magazine, ocenia, że liczba poprawek była dwukrotnie wyższa niż średnia z 2026 roku. Do 10 listopada żadna z czterech luk nie trafiła do katalogu KEV prowadzonego przez CISA.
Najważniejsze ustalenia
- Nota 3778530, CVE-2026-76964: uszkodzenie pamięci w ICM; SAP wymienia wersje jądra od 7.53 do 9.20.
- Nota 3778556, CVE-2026-89126: uszkodzenie pamięci w SAP Web Dispatcherze.
- Nota 3798345, CVE-2026-89103: błąd kontroli dostępu w SAP Gateway, w mediach opisywany jako ProxyGate.
- Nota 3849308, CVE-2026-120017: ominięcie uwierzytelniania w SAML2 Service Provider.
- Poza tym m.in. CVE-2026-109803 (CVSS 9,9): wstrzyknięcie kodu w NetWeaver Knowledge Management.