安全指南

#漏洞 #SAP #补丁日 #CVE-2026-76964 #CVE-2026-89126 #CVE-2026-89103 #CVE-2026-120017 #NetWeaver #补丁管理

SAP 2026 年 11 月安全补丁日：四个 CVSS 10.0 漏洞。先修补对外的 Web Dispatcher 和 ICM；如何确认是否受影响以及今天该做什么

Q: 如何阅读 SAP Note 的正文？

登录 SAP Support Portal，按说明编号搜索。您需要一个 SAP 用户 ID（S-user）。如果您这边没有人拥有，请把下表中的说明编号交给您的 SAP 支持联系人或为您运维 SAP 的一方，询问您是否受影响以及何时应用。

SAP 2026 年 11 月 10 日的补丁日有四个 CVSS 10.0 漏洞。优先级、如何用 SAP Note 和 System Recommendations 核对，以及重启的安排。

发布于 2026-11-11 更新于 2026-11-11 最后核实 2026-11-11 6 分钟阅读

本页目录

适用对象：自行运行 SAP ERP 或业务系统（NetWeaver AS ABAP、S/4HANA、Web Dispatcher 等）的人、负责的 IT 和安全人员，以及把运维交给外包方的人。本文基于 SAP 公开的安全补丁日列表、CVE 记录和 CISA 的 KEV 目录，不涉及攻击步骤。

先修补对外的 Web Dispatcher 和 ICM，在 SAP Note 中确认已修复的级别，并把包括重启在内的更新纳入计划

SAP 11 月的补丁日有四个 CVSS 10.0 漏洞。CVE 记录称这四个漏洞均无需认证、可通过网络利用、无需用户交互（CVE-2026-120017 为在特定配置下）。由于这些系统处于业务的中心，影响很大（本站看法）。

今天：列出可从互联网或外部网络触达的 Web Dispatcher、ICM 和 SAP Gateway 端点
检查您的 SAP 内核和 SAP_BASIS 版本，并在 Support Portal 上打开下表中的 SAP Note
先更新对外的前端（Web Dispatcher、ICM），并在今天预定重启窗口
在此之前，从网络层面收窄能够触达这些系统的范围，并确认您是否使用 SAML 2.0 认证
目前没有被利用的报道，但请趁发布不久尽早做好计划

事态发展中：本文将随更多信息发布而更新

适用对象: 自行运行 SAP ERP 或业务系统（NetWeaver AS ABAP、S/4HANA、Web Dispatcher 等）的人、负责的 IT 和安全人员，以及把运维交给外包方的人。
已确认的影响范围查看表格 ↓: 补丁日的数量
四个 CVSS 10.0 漏洞
三个 CVSS 9.9 漏洞
尚未确认的事项: SAP Note 的正文（已修复的版本、补丁级别、变通办法；需要登录，本站未读取）
其中是否有被利用的（SAP 的列表和 KEV 均未提及；7 条记录中有 4 条附有 CISA 的评估）
是否被加入 CISA 的 KEV 目录（11 月 10 日 19:00 UTC 版本中未列入）
现在要做的事查看步骤 ↓: 列出可从外部触达的 SAP 入口
检查您的版本
打开 SAP Note，确认已修复的级别
另外3项
用 System Recommendations 查找遗漏
规划更新，包括重启
在此之前，收窄能够触达这些系统的范围
核实来源（出处）全部来源 ↓: SAP“Security Patch Day - November 2026”（2026 年 11 月 10 日，英文）— support.sap.com
最后核实: 截至 2026 年 11 月 11 日（日本时间）

续报计划与核实记录

SAP 的公开页面称，2026 年 11 月 10 日的安全补丁日发布了 35 条新的安全说明和 4 条 GitHub 安全公告，并更新了 3 条此前的说明。SAP 强烈建议访问支持门户并优先应用补丁。

今天该做什么

列出可从外部触达的 SAP 入口

根据防火墙规则和实际的来源地址范围，检查 Web Dispatcher（SAP 分发 HTTP 请求的前端组件）、ICM（AS ABAP 中处理 HTTP 和 HTTPS 的部分）和 SAP Gateway 是否可从互联网或合作伙伴网络触达。凡是能触达的，都是最优先的。仅限内部的系统也在范围内，但排在后面。

检查您的版本

一般而言，SAP 内核版本可在 SAP GUI 的“系统”“状态”中、事务码 SM51 中，或在服务器上用 disp+work -version 查看。SAP_BASIS 版本在“状态”画面的组件列表中。Web Dispatcher 通常是带有自己版本的独立进程（以上内容不在 SAP 的文本中，是本站补充）。请与 SAP 列表的“Version(s)”列对照。嵌入 HANA 的 Web Dispatcher（本站对列表中“HDB 2.00”条目的理解）或 XS Advanced 运行时中的 Web Dispatcher，也在列表中被点名（本站的解读）。

打开 SAP Note，确认已修复的级别

在 SAP Support Portal 上打开下表中的说明编号。已修复的版本、所需的补丁级别和变通办法都在说明正文中。多行中出现了相同的内核版本，因此请在正文中确认一次内核更新是否能覆盖多条说明，并一并规划。

用 System Recommendations 查找遗漏

如果您使用 SAP Solution Manager，System Recommendations 会列出适用于每个系统的安全说明。一般而言，如果系统数据已过期，它可能不会列出某条说明。请确认表中的编号已作为候选出现；若没有，请刷新系统数据后再次确认（本站补充）。没有 Solution Manager 的话，请逐个手工核对说明编号。

规划更新，包括重启

内核更新通常意味着停止并重新启动实例。请先测试，再提前预定生产环境的停机窗口。一般而言，冗余的前端可以一次更新一个节点。重启后，请确认正在运行的内核版本是新版本（以上内容不在 SAP 的文本中，是本站补充）。

在此之前，收窄能够触达这些系统的范围

用防火墙关闭所有不需要从外部触达的入口。让 SAP Gateway 这类面向内部的端点远离互联网，只限于需要它们的服务器。如果您配置了 SAML 2.0 认证，则可能受 CVE-2026-120017 影响，因此请先确认是否已设置（CVE 记录写的是“在特定配置下”）。

对外暴露的 Web Dispatcher 或 ICM

最优先。无需认证即可触达。今天就预定更新窗口

Gateway、SAML 2.0 认证

其次。限制能触达它们的范围，并确认是否在使用

三个 9.9 的漏洞，登录后可被利用

能登录的人多的环境更紧迫。否则按常规计划

优先级取决于是否可从外部触达、是否需要认证，以及谁能登录。

优先级表（CVSS 10.0 和 9.9）

CVSS 分值在 SAP 的列表和 CVE 记录（由 SAP 分配）中一致。“前提条件”一列依据 CVE 记录中的描述。

CVE	产品	CVSS	SAP Note	前提条件（CVE 记录）
CVE-2026-89126	SAP Web Dispatcher（内存破坏）	10.0	3778556	无需认证；通过网络
CVE-2026-76964	NetWeaver AS ABAP 的 ICM（内存破坏）	10.0	3778530	无需认证；通过网络
CVE-2026-89103	SAP Gateway（访问控制）	10.0	3798345	无需认证；需要能通过网络访问 Gateway
CVE-2026-120017	AS ABAP 和 ABAP Platform 的 SAML2 服务提供方（认证缺失）	10.0	3849308	无需认证；在特定配置下
CVE-2026-76965	AS ABAP 和 ABAP Platform（操作系统命令执行）	9.9	3792735	低权限登录
CVE-2026-109795	S4CRM（授权缺失）	9.9	3834842	低权限登录
CVE-2026-109803	NetWeaver Knowledge Management（XML Forms，代码注入）	9.9	3809153	已认证用户

SAP 标为 Critical 的另外两行是：

CVE	产品	CVSS	SAP Note
CVE-2026-89119（附加 CVE：CVE-2026-120014）	Web Dispatcher 和 ICM（CSRF）	9.6	3804858
CVE-2026-109798	SAP BusinessObjects BI（Web Intelligence，XXE）	9.1	3799117

本站的看法：四个 CVSS 10.0 漏洞分布在前端（Web Dispatcher、ICM）、中继（Gateway）和认证（SAML2）上。对 SAP 环境来说，只保护其中一个攻击面是不够的。Web Dispatcher 和 ICM 还有其他针对内存破坏和拒绝服务的说明，CVSS 为 7.5 至 7.7（CVE-2026-109800、109793、109794），因此值得把前端和内核的更新作为一项工作统一规划。哪个补丁级别修复了什么，请看说明正文。

SAP 发布了什么

SAP 安全补丁日（2026 年 11 月 10 日）

数量: 35 条新的安全说明、4 条 GitHub 安全公告和 3 条对此前说明的更新（SAP 的描述）
优先级分布: SAP 的列表共 42 行：9 行 Critical、17 行 High、15 行 Medium、1 行 Low（本站统计的行数）。其中包括 4 条 GitHub 条目和 3 条更新
Critical（9 行）: 四个为 CVSS 10.0，三个为 9.9，一个为 9.6，一个为 9.1
对此前说明的更新: 2026 年 10 月（XSS，说明 3671819）、2026 年 7 月（WebClient UI，说明 3155685）和 2022 年 4 月（WebClient UI，说明 3101986）。如果您此前已应用过它们，请查看更新后的内容
开发者库: 4 条 GitHub 公告涉及 SAP Cloud SDK for Python（0.63.1 之前和 0.50.0 之前）、SAP Cloud SDK for AI（JavaScript，2.17.0 及更早）和 SAP/astonish（3.6.0 之前）。请与 ERP 本身分开，检查您所用的软件包版本
SAP 的建议: 访问支持门户并优先应用补丁

CVE 记录（2026 年 11 月 10 日 UTC 发布；由 SAP 分配）

CVE-2026-89126、76964: 内存破坏。未经认证的攻击者发送特制的网络流量，可能执行任意代码并完全攻陷系统。CVSS 3.1 为 10.0（网络、低复杂度、无需权限、无需用户交互、范围改变）
CVE-2026-89103: SAP Gateway 以高权限启用默认的访问控制列表，因此外部攻击者被当作内部应用服务器。未经认证的攻击者可能执行未经授权的操作。CVSS 3.1 为 10.0
CVE-2026-120017: 在特定配置下，传入的认证断言没有被充分验证。未经认证的攻击者可能绕过认证并冒充任意用户，包括特权账户。CVSS 3.1 为 10.0
CVE-2026-76965、109795、109803: 在低权限登录的情况下：操作系统命令执行（76965）、代码注入（109795），以及通过未经授权的 XSL 转换执行任意代码（109803）。CVSS 3.1 为 9.9
已修复的版本和变通办法: CVE 记录中没有。请看 SAP Note 的正文

被利用的情况

截至 2026 年 11 月 11 日，我们能确认的内容如下。

利用情况核查（2026 年 11 月 11 日）

SAP 的列表: 没有提到被利用
KEV: SAP 列表上的 45 个 CVE 均未列入 CISA 的已知被利用漏洞（KEV）目录（11 月 10 日 19:00 UTC 版本）
CISA 评估（SSVC）: 附在四条记录上：CVE-2026-89126、120017、109803 和 109795。均为 exploitation: none（未见利用）。89126 和 120017 被评为可自动化，109803 和 109795 不是。四条的技术影响均为 total（完全）。76964、89103 和 76965 在我们查看时没有评估

本站的看法：“未见利用”是发布后不到一天时做出的评估。CISA 仍可能增加评估或改变评估。请趁这一状况改变之前，先从暴露在外部的入口着手。

已知与未知的内容

项目	已公布的内容	状态
补丁日的数量	35 条新说明、4 条 GitHub 公告、3 条更新（SAP）	已确认（SAP）
四个 CVSS 10.0 漏洞	Web Dispatcher、ICM、Gateway、SAML2。产品和版本范围（SAP 的列表、CVE 记录）	已确认（SAP）
三个 CVSS 9.9 漏洞	ABAP、S4CRM、Knowledge Management。需要低权限登录（CVE 记录）	已确认（SAP）
已修复的版本和补丁级别	在 SAP Note 的正文中（需要登录）	未核实
变通办法	列表和 CVE 记录中均没有	未说明
被利用	SAP 的列表和 KEV 中均没有；四条 CISA 评估均为未见利用	未说明
被加入 KEV	11 月 10 日 19:00 UTC 版本中没有	未说明

如果您把运维交给别人

请向您的外包方或 SAP 支持联系人提出这三个问题。

我们的 SAP 内核和 SAP_BASIS 版本是什么，Web Dispatcher 和 ICM 的版本是什么
表中的 SAP Note 将在何时应用，在哪个带重启的停机窗口中
Web Dispatcher 和 Gateway 能否从互联网或合作伙伴网络触达，我们是否使用 SAML 2.0 认证

本站的看法：版本清单能让每个月的更新都更快

SAP 的补丁日每月一次，更新的延误通常不是因为漏洞本身，而是因为安排停机窗口和测试。如果您保存着一份清单，记录哪些系统能从外部看到、各自运行哪个内核版本，就不必每个补丁日都从零开始。如何确定优先级，请参见决定先修补什么（CVSS、EPSS、KEV）。

时间线

2026 年 11 月 10 日
SAP 举行安全补丁日：35 条说明、4 条 GitHub 公告和 3 条更新。同一天（UTC）发布了 7 条 CVE 记录。
11 月 10 日（UTC，傍晚）
CISA 为其中四条 CVE 记录附上 exploitation: none（未见利用）的评估。KEV 的 JSON（19:00 UTC 版本）中不包含 SAP 列表上的 CVE。
11 月 11 日
本站查看 SAP 的列表、CVE 记录和 KEV，并发布本文。

参考来源（公开记录）

2026 年 11 月 11 日查阅。首先列出 SAP 自己的发布。SAP Note 的正文需要登录，未查阅。

SAP“Security Patch Day - November 2026”（2026 年 11 月 10 日，英文）— support.sap.com
CVE 记录（2026 年 11 月 10 日发布；由 SAP 分配）：CVE-2026-89126 / CVE-2026-76964 / CVE-2026-89103 / CVE-2026-120017 / CVE-2026-76965 / CVE-2026-109795 / CVE-2026-109803
CISA 已知被利用漏洞目录（对照 2026 年 11 月 10 日 19:00 UTC 版本核查）— cisa.gov / JSON

更新记录

2026-11-11：首次发布，依据 SAP 的列表、7 条 CVE 记录和 KEV（11 月 10 日 19:00 UTC 版本）。没有被利用的报道。SAP Note 的正文尚未查阅。

FAQ

Q发生了什么？

2026 年 11 月 10 日，SAP 的安全补丁日发布了 35 条新的安全说明和 4 条 GitHub 安全公告，并更新了 3 条此前的说明。SAP 的列表将 9 行标为 Critical：四个为 CVSS 10.0，三个为 9.9。

Q我的 SAP 系统受影响吗？

SAP 的列表以产品和版本（内核版本、SAP_BASIS 版本、组件版本）给出每条说明的适用范围。请先列出您的 SAP 内核版本、SAP_BASIS 版本以及所用的组件（Web Dispatcher、ICM、Gateway、SAML 2.0 认证、S/4HANA CRM、NetWeaver Knowledge Management 等），再与列表对照。已修复的版本和所需的补丁级别在 SAP Note 的正文中，需要登录才能查看。

Q先修补什么？

对外的 Web Dispatcher 和 ICM（CVE-2026-89126、CVE-2026-76964）。CVE 记录称这两个漏洞均可在无需认证、无需用户交互的情况下通过网络触达。接下来是 SAP Gateway（CVE-2026-89103）和使用 SAML 2.0 认证的 ABAP 系统（CVE-2026-120017）。三个 CVSS 9.9 的漏洞需要低权限登录，因此在能登录的人很多的环境中更为重要。

Q它正在被利用吗？

截至 2026 年 11 月 11 日，我们没有发现被利用的报道。SAP 的列表没有提到，且该页面上的 45 个 CVE 均未列入 CISA 的 KEV 目录（11 月 10 日 19:00 UTC 版本）。在 CVE 记录所附的 CISA 评估（SSVC）中，我们能看到的四条均为 exploitation: none（未见利用），其中两条（CVE-2026-89126、CVE-2026-120017）被评为可自动化（automatable）。发布后情况变化很快，请再次确认。

Q如何阅读 SAP Note 的正文？

Q应用补丁需要重启吗？

更新 SAP 内核通常意味着停止并重新启动受影响的实例。每条说明的具体要求在说明正文中。生产环境请先测试，再在计划好的停机窗口中应用。对于 Web Dispatcher 这类冗余的前端，通常可以一次更新一个节点，以缩短中断时间（本站补充）。