대상: SAP ERP나 기간 시스템(NetWeaver AS ABAP, S/4HANA, Web Dispatcher 등)을 직접 운영하는 사람, 그 책임을 지는 IT·보안 담당자, 운영을 위탁업체에 맡기고 있는 사람. 이 글은 SAP가 공개한 보안 패치 데이 목록, CVE 레코드, CISA의 KEV 카탈로그를 바탕으로 하며 공격 절차는 다루지 않습니다.
진행 중: 추가 정보가 나오는 대로 이 글을 업데이트합니다
- 대상
SAP ERP나 기간 시스템(NetWeaver AS ABAP, S/4HANA, Web Dispatcher 등)을 직접 운영하는 사람, 그 책임을 지는 IT·보안 담당자, 운영을 위탁업체에 맡기고 있는 사람.
- 확인된 영향 범위표 보기 ↓
- 패치 데이 건수
- CVSS 10.0 결함 4건
- CVSS 9.9 결함 3건
- 아직 확인되지 않은 사항
- SAP Note 본문(수정 버전, 패치 레벨, 우회 방법. 로그인이 필요하며 이 사이트는 읽지 못함)
- 이 중 악용되는 것이 있는지(SAP의 목록에도 KEV에도 언급이 없음. CISA의 평가는 레코드 7건 중 4건에 붙어 있음)
- CISA의 KEV 카탈로그에 추가되는지(11월 10일 19:00 UTC 버전에는 없음)
- 지금 할 일절차 보기 ↓
- 외부에서 닿을 수 있는 SAP 진입점을 목록으로 만들기
- 버전 확인
- SAP Note를 열어 수정된 레벨 확인
3개 더 보기
- System Recommendations로 빠진 것 찾기
- 재시작을 포함해 업데이트 계획
- 그때까지 이 시스템들에 닿는 범위를 좁히기
- 마지막 확인
- 2026년 11월 11일(JST) 기준
후속 발표 예정과 확인 기록
SAP의 공개 페이지에 따르면 2026년 11월 10일 보안 패치 데이에서 새 보안 노트 35건과 GitHub 보안 권고 4건이 공개되었고, 기존 노트 3건이 업데이트되었습니다. SAP는 지원 포털에 들어가 패치를 우선적으로 적용할 것을 강하게 권고합니다.
오늘 해야 할 일
외부에서 닿을 수 있는 SAP 진입점을 목록으로 만들기
Web Dispatcher(HTTP 요청을 분산하는 SAP의 프런트엔드 구성 요소), ICM(AS ABAP에서 HTTP와 HTTPS를 처리하는 부분), SAP Gateway가 인터넷이나 협력사 네트워크에서 닿을 수 있는지, 방화벽 규칙과 실제 접속 원본 주소 범위로 확인하세요. 닿는 것이 최우선입니다. 내부 전용 시스템도 대상이지만 그다음입니다.
버전 확인
일반적으로 SAP 커널 버전은 SAP GUI의 시스템, 상태 메뉴, 트랜잭션 SM51, 또는 서버의 disp+work -version으로 볼 수 있습니다. SAP_BASIS 버전은 상태 화면의 구성 요소 목록에 있습니다. Web Dispatcher는 보통 별도 프로세스로 자체 버전을 가집니다(위 내용은 SAP의 본문에 없는 우리의 보충입니다). SAP 목록의 「버전」 열과 대조하세요. HANA에 내장된 Web Dispatcher(목록의 「HDB 2.00」 항목에 대한 우리의 해석)나 XS Advanced 런타임의 것도 목록에 이름이 올라 있습니다(우리의 해석).
SAP Note를 열어 수정된 레벨 확인
아래 표의 노트 번호를 SAP Support Portal에서 여세요. 수정된 버전, 필요한 패치 레벨, 우회 방법이 있다면 그것은 노트 본문에 있습니다. 같은 커널 버전이 여러 행에 나오므로, 커널 업데이트 하나로 여러 노트를 한꺼번에 처리할 수 있는지 본문에서 확인하고 함께 계획하세요.
System Recommendations로 빠진 것 찾기
SAP Solution Manager를 쓴다면 System Recommendations에 시스템별로 해당하는 보안 노트가 나옵니다. 일반적으로 시스템 데이터가 오래되었으면 노트가 나오지 않을 수 있습니다. 표의 번호가 후보에 있는지 확인하고, 없으면 시스템 데이터를 갱신한 뒤 다시 확인하세요(우리의 보충). Solution Manager가 없다면 노트 번호를 하나씩 직접 확인하세요.
재시작을 포함해 업데이트 계획
커널 업데이트는 일반적으로 인스턴스의 중지와 시작을 수반합니다. 테스트한 뒤 운영 환경의 다운타임 창을 미리 잡으세요. 일반적으로 이중화된 프런트엔드는 한 노드씩 업데이트할 수 있습니다. 재시작 후에는 실행 중인 커널 버전이 새 버전인지 확인하세요(위 내용은 SAP의 본문에 없는 우리의 보충입니다).
그때까지 이 시스템들에 닿는 범위를 좁히기
외부에서 닿을 필요가 없는 진입점은 방화벽으로 닫으세요. SAP Gateway처럼 내부용 엔드포인트는 인터넷에 두지 말고 필요한 서버로만 제한하세요. SAML 2.0 인증을 구성했다면 CVE-2026-120017의 영향을 받을 수 있으므로, 먼저 설정되어 있는지 확인하세요(CVE 레코드는 「특정 구성에서」라고 적고 있습니다).
Web Dispatcher·ICM이 노출됨
최우선. 인증 없이 닿을 수 있음. 오늘 업데이트 창을 잡으세요
Gateway, SAML 2.0 인증
그다음. 닿는 범위를 제한하고 쓰는지 확인
로그인 후 악용 가능한 9.9의 3건
로그인할 수 있는 사람이 많을수록 급함. 그 밖에는 일반 일정
우선순위 표(CVSS 10.0과 9.9)
CVSS 값은 SAP의 목록과 CVE 레코드(SAP가 할당)가 같습니다. 「전제 조건」 열은 CVE 레코드의 설명에 근거합니다.
| CVE | 제품 | CVSS | SAP Note | 전제 조건(CVE 레코드) |
|---|---|---|---|---|
| CVE-2026-89126 | SAP Web Dispatcher(메모리 손상) | 10.0 | 3778556 | 인증 없음. 네트워크 경유 |
| CVE-2026-76964 | NetWeaver AS ABAP의 ICM(메모리 손상) | 10.0 | 3778530 | 인증 없음. 네트워크 경유 |
| CVE-2026-89103 | SAP Gateway(접근 제어) | 10.0 | 3798345 | 인증 없음. Gateway에 대한 네트워크 접근 필요 |
| CVE-2026-120017 | AS ABAP와 ABAP Platform의 SAML2 서비스 공급자(인증 누락) | 10.0 | 3849308 | 인증 없음. 특정 구성에서 |
| CVE-2026-76965 | AS ABAP와 ABAP Platform(OS 명령 실행) | 9.9 | 3792735 | 권한이 낮은 로그인 |
| CVE-2026-109795 | S4CRM(권한 부여 누락) | 9.9 | 3834842 | 권한이 낮은 로그인 |
| CVE-2026-109803 | NetWeaver Knowledge Management(XML Forms, 코드 인젝션) | 9.9 | 3809153 | 인증된 사용자 |
SAP가 Critical로 표시한 나머지 두 행은 다음과 같습니다.
| CVE | 제품 | CVSS | SAP Note |
|---|---|---|---|
| CVE-2026-89119(추가 CVE: CVE-2026-120014) | Web Dispatcher와 ICM(CSRF) | 9.6 | 3804858 |
| CVE-2026-109798 | SAP BusinessObjects BI(Web Intelligence, XXE) | 9.1 | 3799117 |
이 사이트의 견해: CVSS 10.0의 4건은 프런트엔드(Web Dispatcher, ICM), 중계(Gateway), 인증(SAML2)에 걸쳐 있습니다. SAP 환경은 공격 표면 하나만 지켜서는 충분하지 않습니다. Web Dispatcher와 ICM에는 CVSS 7.5에서 7.7의 메모리 손상과 서비스 거부에 대한 다른 노트도 있으므로(CVE-2026-109800, 109793, 109794), 프런트엔드와 커널 업데이트를 하나의 작업으로 계획해 두면 좋습니다. 어떤 패치 레벨이 무엇을 고치는지는 노트 본문에 있습니다.
SAP가 공개한 내용
- 건수
- 새 보안 노트 35건, GitHub 보안 권고 4건, 기존 노트 업데이트 3건(SAP의 설명)
- 우선순위별 내역
- SAP의 목록은 42행: Critical 9, High 17, Medium 15, Low 1(이 사이트가 행을 세었음). GitHub 항목 4건과 업데이트 3건을 포함
- Critical(9행)
- CVSS 10.0이 4건, 9.9가 3건, 9.6이 1건, 9.1이 1건
- 기존 노트 업데이트
- 2026년 10월(XSS, 노트 3671819), 2026년 7월(WebClient UI, 노트 3155685), 2022년 4월(WebClient UI, 노트 3101986). 이미 적용했다면 업데이트된 내용을 확인하세요
- 개발자 라이브러리
- GitHub 권고 4건은 SAP Cloud SDK for Python(0.63.1 미만과 0.50.0 미만), SAP Cloud SDK for AI(JavaScript, 2.17.0 이하), SAP/astonish(3.6.0 미만)에 관한 것입니다. ERP 본체와는 별도로 쓰는 패키지 버전을 확인하세요
- SAP의 권고
- 지원 포털에 들어가 패치를 우선적으로 적용할 것
- CVE-2026-89126, 76964
- 메모리 손상. 인증 없는 공격자가 조작된 네트워크 트래픽을 보내 임의의 코드를 실행하고 시스템을 완전히 장악할 수 있음. CVSS 3.1은 10.0(네트워크, 낮은 복잡도, 권한 불필요, 사용자 조작 불필요, 범위 변경)
- CVE-2026-89103
- SAP Gateway가 높은 권한의 기본 접근 제어 목록을 활성화하여 외부 공격자가 내부 애플리케이션 서버로 취급됨. 인증 없는 공격자가 무단 동작을 수행할 수 있음. CVSS 3.1은 10.0
- CVE-2026-120017
- 특정 구성에서 들어오는 인증 어설션이 충분히 검증되지 않음. 인증 없는 공격자가 인증을 우회해 권한 있는 계정을 포함한 임의의 사용자로 가장할 수 있음. CVSS 3.1은 10.0
- CVE-2026-76965, 109795, 109803
- 권한이 낮은 로그인으로: OS 명령 실행(76965), 코드 인젝션(109795), 무단 XSL 변환을 통한 임의 코드 실행(109803). CVSS 3.1은 9.9
- 수정 버전과 우회 방법
- CVE 레코드에는 없음. SAP Note 본문을 참조
악용 상황
2026년 11월 11일 시점에 확인할 수 있었던 내용입니다.
- SAP의 목록
- 악용에 대한 언급 없음
- KEV
- SAP 목록의 CVE 45건 중 CISA의 Known Exploited Vulnerabilities 카탈로그에 있는 것은 없음(11월 10일 19:00 UTC 버전)
- CISA 평가(SSVC)
- 레코드 4건에 붙어 있음: CVE-2026-89126, 120017, 109803, 109795. 모두 악용: 없음. 89126과 120017은 자동화 가능, 109803과 109795는 아님. 기술적 영향은 4건 모두 전면적. 76964, 89103, 76965는 확인 시점에 평가가 없었음
이 사이트의 견해: 「악용 없음」은 공개 후 하루도 지나지 않은 시점의 평가입니다. CISA가 평가를 추가하거나 바꿀 수 있습니다. 그것이 바뀌기 전에 외부에 노출된 진입점부터 손보세요.
알려진 내용과 알려지지 않은 내용
| 항목 | 공개된 내용 | 상태 |
|---|---|---|
| 패치 데이 건수 | 새 노트 35건, GitHub 권고 4건, 업데이트 3건(SAP) | 확인됨(SAP) |
| CVSS 10.0 결함 4건 | Web Dispatcher, ICM, Gateway, SAML2. 제품과 버전 범위(SAP의 목록, CVE 레코드) | 확인됨(SAP) |
| CVSS 9.9 결함 3건 | ABAP, S4CRM, Knowledge Management. 권한이 낮은 로그인이 필요(CVE 레코드) | 확인됨(SAP) |
| 수정 버전과 패치 레벨 | SAP Note 본문에 있음(로그인 필요) | 확인하지 못함 |
| 우회 방법 | 목록과 CVE 레코드에 없음 | 명시되지 않음 |
| 악용 | SAP의 목록과 KEV에 없음. CISA 평가 4건은 없음 | 명시되지 않음 |
| KEV 추가 | 11월 10일 19:00 UTC 버전에는 없음 | 명시되지 않음 |
운영을 다른 곳에 맡기고 있다면
위탁업체나 SAP 지원 담당에게 다음 세 가지를 물어보세요.
- 우리의 SAP 커널과 SAP_BASIS 버전, 그리고 Web Dispatcher와 ICM의 버전은 무엇인가
- 표의 SAP Note는 언제, 재시작이 필요한 어느 다운타임 창에서 적용하는가
- Web Dispatcher와 Gateway는 인터넷이나 협력사 네트워크에서 닿을 수 있는가, 그리고 SAML 2.0 인증을 쓰는가
이 사이트의 견해: 버전의 목록이 있으면 매달의 업데이트가 빨라집니다
SAP 패치 데이는 매달 있고, 업데이트가 늦어지는 이유는 결함 자체보다 다운타임 창을 조정하고 테스트하는 데 있는 경우가 많습니다. 어느 시스템이 외부에서 보이는지, 각각 어느 커널 버전으로 도는지 목록을 갖고 있으면 패치 데이마다 처음부터 시작하지 않아도 됩니다. 우선순위를 정하는 방법은 무엇부터 패치할지 정하기(CVSS, EPSS, KEV)에서 다룹니다.
타임라인
2026년 11월 10일
SAP가 보안 패치 데이를 진행합니다: 노트 35건, GitHub 권고 4건, 업데이트 3건. 같은 날(UTC) CVE 레코드 7건이 공개됩니다.11월 10일(UTC, 저녁)
CISA가 CVE 레코드 4건에 악용: 없음 평가를 붙입니다. KEV의 JSON(19:00 UTC 버전)에는 SAP 목록의 CVE가 들어 있지 않습니다.11월 11일
이 사이트가 SAP의 목록, CVE 레코드, KEV를 확인하고 이 글을 공개합니다.
출처(공개 자료)
2026년 11월 11일에 확인했습니다. SAP 자체의 공개 자료를 맨 앞에 두었습니다. SAP Note 본문은 로그인이 필요해 확인하지 못했습니다.
- SAP 「Security Patch Day - November 2026」(2026년 11월 10일) — support.sap.com
- CVE 레코드(2026년 11월 10일 공개. SAP가 할당): CVE-2026-89126 / CVE-2026-76964 / CVE-2026-89103 / CVE-2026-120017 / CVE-2026-76965 / CVE-2026-109795 / CVE-2026-109803
- CISA Known Exploited Vulnerabilities 카탈로그(2026년 11월 10일 19:00 UTC 버전과 대조) — cisa.gov / JSON
업데이트 기록
2026-11-11: 최초 버전. SAP의 목록, CVE 레코드 7건, KEV(11월 10일 19:00 UTC 버전)를 바탕으로 작성했습니다. 악용 보고는 없습니다. SAP Note 본문은 확인하지 못했습니다.
다음으로 읽기
- 공개된 뒤: 취약점이 공개되었을 때 해야 할 일 / 무엇부터 패치할지 정하기(CVSS, EPSS, KEV)
- 여러 건을 한꺼번에 고친 다른 릴리스: 2026년 10월 28일 Jenkins 보안 권고(15건)
- 준비: 보안 자산 목록 체크리스트
- 용어: CVE란? / CVSS란?