2026-11-11
SAP 2026 年 11 月安全补丁日：四个 CVSS 10.0 漏洞。先修补对外的 Web Dispatcher 和 ICM；如何确认是否受影响以及今天该做什么
2026 年 11 月 10 日，SAP 的安全补丁日发布了 35 条新的安全说明（Security Note）和 4 条 GitHub 安全公告，并更新了 3 条此前的说明。SAP 的列表将 9 行标为 Critical（严重）。其中四个为 CVSS 10.0：NetWeaver AS ABAP 的 Internet Communication Manager（ICM）中的内存破坏（CVE-2026-76964），SAP Web Dispatcher 中的内存破坏（CVE-2026-89126），SAP Gateway 中的访问控制缺陷（CVE-2026-89103），以及 AS ABAP 的 SAML2 服务提供方中的认证缺失（CVE-2026-120017）。CVE 记录称这四个漏洞均无需认证、可通过网络利用、无需用户交互（CVE-2026-120017 为在特定配置下）。另有三个为 CVSS 9.9（CVE-2026-109803、CVE-2026-76965、CVE-2026-109795），需要低权限登录。SAP 的列表没有提到被利用，该页面上的 CVE 均未列入 CISA 的 KEV 目录（11 月 10 日 19:00 UTC 版本）。在 CVE 记录所附的 CISA 评估中，我们能看到的四条均为 exploitation: none（未见利用）。SAP Note 的正文需要登录才能查看，本站未读取。本站的结论：先修补对外的 Web Dispatcher 和 ICM，在 SAP Note 中确认已修复的版本级别，并把包括重启在内的更新纳入计划。