Для кого: тех, кто сам эксплуатирует SAP ERP или бизнес-системы (NetWeaver AS ABAP, S/4HANA, Web Dispatcher и т. д.), ответственных ИТ-специалистов и специалистов по безопасности, а также тех, кто доверил эксплуатацию подрядчику. Статья основана на публичном списке Дня исправлений безопасности SAP, записях CVE и каталоге KEV CISA. Шаги атаки в ней не рассматриваются.
В развитии: статья будет обновляться по мере появления новых данных
- Кого это касается
тех, кто сам эксплуатирует SAP ERP или бизнес-системы (NetWeaver AS ABAP, S/4HANA, Web Dispatcher и т. д.), ответственных ИТ-специалистов и специалистов по безопасности, а также тех, кто доверил эксплуатацию подрядчику.
- ПодтвержденоСмотреть таблицу ↓
- Количество в День исправлений
- Четыре уязвимости с CVSS 10.0
- Три уязвимости с CVSS 9.9
- Пока не подтверждено
- Текст заметок SAP (исправленные версии, уровни исправлений, обходные пути; требуется вход, этот сайт его не читал)
- Эксплуатируется ли что-либо из этого (ни в списке SAP, ни в KEV об этом не говорится; оценка CISA приложена к 4 из 7 записей)
- Добавление в каталог KEV CISA (в версии от 10 ноября, 19:00 UTC, отсутствует)
- Что сделать сейчасСмотреть шаги ↓
- Составьте перечень точек входа SAP, доступных снаружи
- Проверьте версии
- Откройте заметки SAP и подтвердите исправленные уровни
Ещё 3
- Найдите пробелы через System Recommendations
- Спланируйте обновление вместе с перезапуском
- До тех пор сузьте то, что может дотянуться до этих систем
- Где проверить (источник)Все источники ↓
- SAP «Security Patch Day - November 2026» (10 ноября 2026 года)
- Последняя проверка
- По состоянию на 11 ноября 2026 года (JST)
Планы обновлений и что мы проверили
На публичной странице SAP сказано, что 10 ноября 2026 года в День исправлений безопасности выпущено 35 новых заметок по безопасности и 4 рекомендации GitHub, а 3 прежние заметки обновлены. SAP настоятельно рекомендует зайти на портал поддержки и применить исправления в первую очередь.
Что делать сегодня
Составьте перечень точек входа SAP, доступных снаружи
Проверьте по правилам межсетевого экрана и реальному диапазону адресов источников, доступны ли Web Dispatcher (компонент SAP на стороне фронтенда, распределяющий HTTP-запросы), ICM (часть AS ABAP, обрабатывающая HTTP и HTTPS) и SAP Gateway из интернета или из сетей партнёров. Всё, что доступно, имеет наивысший приоритет. Системы только для внутреннего использования тоже входят в область, но идут позже.
Проверьте версии
Как правило, версию ядра SAP можно увидеть в SAP GUI через «Система», «Статус», в транзакции SM51 или на сервере командой disp+work -version. Версия SAP_BASIS указана в списке компонентов на экране статуса. Web Dispatcher обычно является отдельным процессом со своей версией (это не из текста SAP, а наше дополнение). Сравните их со столбцом «Версии» в списке SAP. Web Dispatcher, встроенный в HANA (наше прочтение записи «HDB 2.00» в списке), или в среде выполнения XS Advanced также назван в списке (наша интерпретация).
Откройте заметки SAP и подтвердите исправленные уровни
Откройте номера заметок из таблицы ниже на SAP Support Portal. Исправленные версии, нужные уровни исправлений и обходные пути, если они есть, приведены в тексте заметки. Одни и те же версии ядра встречаются в нескольких строках, поэтому проверьте в тексте, может ли одно обновление ядра закрыть несколько заметок, и планируйте их вместе.
Найдите пробелы через System Recommendations
Если вы используете SAP Solution Manager, в System Recommendations перечислены заметки по безопасности, применимые к каждой системе. Как правило, если данные о системе устарели, заметка может не появиться. Проверьте, что номера из таблицы есть среди кандидатов, а если нет, обновите данные системы и проверьте снова (наше дополнение). Без Solution Manager проверяйте номера заметок вручную по одному.
Спланируйте обновление вместе с перезапуском
Обновление ядра, как правило, означает остановку и запуск экземпляров. Протестируйте его, затем заранее забронируйте окно простоя для производства. Как правило, резервированный фронтенд можно обновлять по одному узлу. После перезапуска убедитесь, что работающая версия ядра новая (это не из текста SAP, а наше дополнение).
До тех пор сузьте то, что может дотянуться до этих систем
Закройте межсетевым экраном каждую точку входа, которой не нужен доступ снаружи. Конечные точки для внутреннего использования, такие как SAP Gateway, не держите в интернете и ограничьте их нужными серверами. Если вы настроили аутентификацию SAML 2.0, вы можете быть затронуты CVE-2026-120017, поэтому сначала проверьте, настроена ли она (в записи CVE сказано «при определённых конфигурациях»).
Web Dispatcher или ICM открыты
Наивысший приоритет. Доступны без аутентификации. Забронируйте окно обновления сегодня
Gateway, аутентификация SAML 2.0
Следующими. Ограничьте доступ к ним и проверьте, используете ли вы их
Три уязвимости 9.9, эксплуатируемые после входа
Срочнее там, где войти могут многие. В остальных случаях по обычному графику
Таблица приоритетов (CVSS 10.0 и 9.9)
Значения CVSS одинаковы в списке SAP и в записях CVE (присвоены SAP). Столбец «Условие» основан на описании в записи CVE.
| CVE | Продукт | CVSS | Заметка SAP | Условие (запись CVE) |
|---|---|---|---|---|
| CVE-2026-89126 | SAP Web Dispatcher (повреждение памяти) | 10.0 | 3778556 | Без аутентификации; по сети |
| CVE-2026-76964 | ICM NetWeaver AS ABAP (повреждение памяти) | 10.0 | 3778530 | Без аутентификации; по сети |
| CVE-2026-89103 | SAP Gateway (контроль доступа) | 10.0 | 3798345 | Без аутентификации; нужен сетевой доступ к Gateway |
| CVE-2026-120017 | Поставщик услуг SAML2 AS ABAP и ABAP Platform (отсутствие аутентификации) | 10.0 | 3849308 | Без аутентификации; при определённых конфигурациях |
| CVE-2026-76965 | AS ABAP и ABAP Platform (выполнение команд ОС) | 9.9 | 3792735 | Вход с низкими привилегиями |
| CVE-2026-109795 | S4CRM (отсутствие авторизации) | 9.9 | 3834842 | Вход с низкими привилегиями |
| CVE-2026-109803 | NetWeaver Knowledge Management (XML Forms, внедрение кода) | 9.9 | 3809153 | Аутентифицированный пользователь |
Две другие строки, которые SAP помечает как Critical:
| CVE | Продукт | CVSS | Заметка SAP |
|---|---|---|---|
| CVE-2026-89119 (дополнительная CVE: CVE-2026-120014) | Web Dispatcher и ICM (CSRF) | 9.6 | 3804858 |
| CVE-2026-109798 | SAP BusinessObjects BI (Web Intelligence, XXE) | 9.1 | 3799117 |
Мнение этого сайта: четыре уязвимости с CVSS 10.0 распределены по фронтенду (Web Dispatcher, ICM), ретрансляции (Gateway) и аутентификации (SAML2). Защитить одну поверхность атаки для ландшафта SAP недостаточно. У Web Dispatcher и ICM есть и другие заметки о повреждении памяти и отказе в обслуживании с CVSS от 7.5 до 7.7 (CVE-2026-109800, 109793, 109794), поэтому стоит спланировать обновление фронтенда и ядра как одну работу. Какой уровень исправлений что закрывает, сказано в тексте заметок.
Что опубликовала SAP
- Количество
- 35 новых заметок по безопасности, 4 рекомендации GitHub и 3 обновления прежних заметок (описание SAP)
- Распределение по приоритету
- В списке SAP 42 строки: 9 Critical, 17 High, 15 Medium и 1 Low (строки посчитал этот сайт). В это число входят 4 пункта GitHub и 3 обновления
- Critical (9 строк)
- Четыре с CVSS 10.0, три с 9.9, одна с 9.6 и одна с 9.1
- Обновления прежних заметок
- Октябрь 2026 (XSS, заметка 3671819), июль 2026 (WebClient UI, заметка 3155685) и апрель 2022 (WebClient UI, заметка 3101986). Если вы применяли их раньше, проверьте обновлённое содержимое
- Библиотеки для разработчиков
- 4 рекомендации GitHub касаются SAP Cloud SDK for Python (до 0.63.1 и до 0.50.0), SAP Cloud SDK for AI (JavaScript, 2.17.0 и ранее) и SAP/astonish (до 3.6.0). Проверьте версии используемых пакетов отдельно от самого ERP
- Рекомендация SAP
- Зайти на портал поддержки и применить исправления в первую очередь
- CVE-2026-89126, 76964
- Повреждение памяти. Неаутентифицированный злоумышленник, отправляя специально сформированный сетевой трафик, мог бы выполнить произвольный код и полностью скомпрометировать систему. CVSS 3.1 — 10.0 (сеть, низкая сложность, привилегии не нужны, участие пользователя не нужно, область изменена)
- CVE-2026-89103
- SAP Gateway включает список контроля доступа по умолчанию с высокими привилегиями, и внешний злоумышленник воспринимается как внутренний сервер приложений. Неаутентифицированный злоумышленник мог бы выполнять несанкционированные действия. CVSS 3.1 — 10.0
- CVE-2026-120017
- При определённых конфигурациях входящие утверждения аутентификации проверяются недостаточно. Неаутентифицированный злоумышленник мог бы обойти аутентификацию и выдать себя за любого пользователя, включая привилегированные учётные записи. CVSS 3.1 — 10.0
- CVE-2026-76965, 109795, 109803
- При входе с низкими привилегиями: выполнение команд ОС (76965), внедрение кода (109795) и выполнение произвольного кода через несанкционированное XSL-преобразование (109803). CVSS 3.1 — 9.9
- Исправленные версии и обходные пути
- В записях CVE их нет. См. текст заметок SAP
Состояние эксплуатации
Вот что мы смогли подтвердить по состоянию на 11 ноября 2026 года.
- Список SAP
- Об эксплуатации не говорится
- KEV
- Ни одной из 45 CVE из списка SAP нет в каталоге Known Exploited Vulnerabilities CISA (версия от 10 ноября, 19:00 UTC)
- Оценка CISA (SSVC)
- Приложена к четырём записям: CVE-2026-89126, 120017, 109803 и 109795. Везде: эксплуатация: нет. 89126 и 120017 оценены как поддающиеся автоматизации, 109803 и 109795 — нет. Технический эффект полный у всех четырёх. У 76964, 89103 и 76965 оценки на момент проверки не было
Мнение этого сайта: «эксплуатации нет» — это оценка, сделанная менее чем через сутки после выпуска. CISA ещё может добавить оценки или изменить их. Пока это не изменилось, начните с точек входа, открытых наружу.
Что известно и что неизвестно
| Пункт | Что опубликовано | Статус |
|---|---|---|
| Количество в День исправлений | 35 новых заметок, 4 рекомендации GitHub, 3 обновления (SAP) | Подтверждено (SAP) |
| Четыре уязвимости с CVSS 10.0 | Web Dispatcher, ICM, Gateway, SAML2. Продукты и диапазоны версий (список SAP, записи CVE) | Подтверждено (SAP) |
| Три уязвимости с CVSS 9.9 | ABAP, S4CRM, Knowledge Management. Нужен вход с низкими привилегиями (записи CVE) | Подтверждено (SAP) |
| Исправленные версии и уровни исправлений | В тексте заметок SAP (нужен вход) | Не проверено |
| Обходные пути | Нет ни в списке, ни в записях CVE | Не указано |
| Эксплуатация | Нет ни в списке SAP, ни в KEV; четыре оценки CISA говорят: нет | Не указано |
| Добавление в KEV | Нет в версии от 10 ноября, 19:00 UTC | Не указано |
Если вы доверили эксплуатацию другим
Задайте подрядчику или контакту поддержки SAP эти три вопроса.
- Каковы наши версии ядра SAP и SAP_BASIS и версии Web Dispatcher и ICM
- Когда будут применены заметки SAP из таблицы и в какое окно простоя с перезапуском
- Доступны ли Web Dispatcher и Gateway из интернета или из сетей партнёров и используем ли мы аутентификацию SAML 2.0
Мнение этого сайта: перечень версий ускоряет каждое ежемесячное обновление
Дни исправлений SAP бывают каждый месяц, и обновление чаще задерживает не сама уязвимость, а согласование окна простоя и тестирование. Если у вас есть перечень того, какие системы видны снаружи и на каком ядре работает каждая, в каждый День исправлений не придётся начинать с нуля. Как расставлять приоритеты, разобрано в статье как решить, что исправлять первым (CVSS, EPSS, KEV).
Хронология
10 ноября 2026 года
SAP проводит День исправлений безопасности: 35 заметок, 4 рекомендации GitHub и 3 обновления. В тот же день (UTC) публикуются семь записей CVE.10 ноября (UTC, вечер)
CISA прикладывает оценки «эксплуатация: нет» к четырём записям CVE. В JSON каталога KEV (версия от 19:00 UTC) нет CVE из списка SAP.11 ноября
Этот сайт проверяет список SAP, записи CVE и KEV и публикует эту статью.
Источники (открытые публикации)
Проверено 11 ноября 2026 года. Первой указана собственная публикация SAP. Текст заметок SAP требует входа в систему и не проверялся.
- SAP «Security Patch Day - November 2026» (10 ноября 2026 года) — support.sap.com
- Записи CVE (опубликованы 10 ноября 2026 года; присвоены SAP): CVE-2026-89126 / CVE-2026-76964 / CVE-2026-89103 / CVE-2026-120017 / CVE-2026-76965 / CVE-2026-109795 / CVE-2026-109803
- Каталог Known Exploited Vulnerabilities CISA (сверено с версией от 10 ноября 2026 года, 19:00 UTC) — cisa.gov / JSON
История обновлений
2026-11-11: первая версия, основана на списке SAP, семи записях CVE и KEV (версия от 10 ноября, 19:00 UTC). Об эксплуатации не сообщается. Текст заметок SAP не проверялся.
Читайте далее
- После раскрытия: что делать при раскрытии уязвимости / как решить, что исправлять первым (CVSS, EPSS, KEV)
- Другой выпуск с множеством исправлений: рекомендация по безопасности Jenkins от 28 октября 2026 года (15 проблем)
- Подготовка: контрольный список инвентаризации безопасности
- Термины: Что такое CVE / Что такое CVSS