2026-11-11
День исправлений SAP, ноябрь 2026: четыре уязвимости с CVSS 10.0. Сначала обновите Web Dispatcher и ICM, доступные из интернета; как проверить, затронуты ли вы, и что делать сегодня
10 ноября 2026 года в День исправлений безопасности SAP выпустила 35 новых заметок по безопасности и 4 рекомендации GitHub, а также обновила 3 прежние заметки. В списке SAP 9 строк помечены как Critical. Четыре из них имеют CVSS 10.0: повреждение памяти в Internet Communication Manager (ICM) NetWeaver AS ABAP (CVE-2026-76964) и в SAP Web Dispatcher (CVE-2026-89126), нарушение контроля доступа в SAP Gateway (CVE-2026-89103) и отсутствие аутентификации в поставщике услуг SAML2 AS ABAP (CVE-2026-120017). По описанию в записях CVE все четыре эксплуатируются без аутентификации, по сети и без участия пользователя (CVE-2026-120017 при определённых конфигурациях). Три имеют CVSS 9.9 (CVE-2026-109803, CVE-2026-76965, CVE-2026-109795) и требуют входа с низкими привилегиями. В списке SAP об эксплуатации не говорится, и ни одной CVE со страницы нет в каталоге KEV CISA (версия от 10 ноября, 19:00 UTC). Из оценок CISA, приложенных к записям CVE, четыре увиденные нами говорят: эксплуатация: нет. Текст заметок SAP требует входа в систему, и этот сайт его не читал. Вывод этого сайта: сначала обновите Web Dispatcher и ICM, доступные из интернета, подтвердите исправленные уровни в заметках SAP и спланируйте обновление вместе с перезапуском.