適用對象：自行執行 SAP ERP 或業務系統（NetWeaver AS ABAP、S/4HANA、Web Dispatcher 等）的人、負責的 IT 和安全人員，以及把運維交給外包方的人。本文基於 SAP 公開的安全修補日列表、CVE 紀錄和 CISA 的 KEV 目錄，不涉及攻擊步驟。
事態發展中：本文將隨更多資訊發布而更新
- 適用對象
自行執行 SAP ERP 或業務系統（NetWeaver AS ABAP、S/4HANA、Web Dispatcher 等）的人、負責的 IT 和安全人員，以及把運維交給外包方的人。
- 已確認的影響範圍查看表格 ↓
- 修補日的數量
- 四個 CVSS 10.0 漏洞
- 三個 CVSS 9.9 漏洞
- 尚未確認的事項
- SAP Note 的正文（已修復的版本、修補層級、變通辦法；需要登入，本站未讀取）
- 其中是否有被利用的（SAP 的列表和 KEV 均未提及；7 條紀錄中有 4 條附有 CISA 的評估）
- 是否被加入 CISA 的 KEV 目錄（11 月 10 日 19:00 UTC 版本中未列入）
- 現在要做的事查看步驟 ↓
- 列出可從外部觸達的 SAP 入口
- 檢查您的版本
- 開啟 SAP Note，確認已修復的級別
另外3項
- 用 System Recommendations 查詢遺漏
- 規劃更新，包括重啟
- 在此之前，收窄能夠觸達這些系統的範圍
- 最後查證
- 截至 2026 年 11 月 11 日（日本時間）
續報計畫與查證紀錄
SAP 的公開頁面稱，2026 年 11 月 10 日的安全修補日發布了 35 條新的安全說明和 4 條 GitHub 安全公告，並更新了 3 條此前的說明。SAP 強烈建議存取支援門戶並優先套用修補程式。
今天該做什麼
列出可從外部觸達的 SAP 入口
根據防火牆規則和實際的來源地址範圍，檢查 Web Dispatcher（SAP 分發 HTTP 請求的前端元件）、ICM（AS ABAP 中處理 HTTP 和 HTTPS 的部分）和 SAP Gateway 是否可從網際網路或合作伙伴網路觸達。凡是能觸達的，都是最優先的。僅限內部的系統也在範圍內，但排在後面。
檢查您的版本
一般而言，SAP 核心版本可在 SAP GUI 的「系統」「狀態」中、事務碼 SM51 中，或在伺服器上用 disp+work -version 檢視。SAP_BASIS 版本在「狀態」畫面的元件列表中。Web Dispatcher 通常是帶有自己版本的獨立程序（以上內容不在 SAP 的文字中，是本站補充）。請與 SAP 列表的「Version(s)」列對照。嵌入 HANA 的 Web Dispatcher（本站對列表中「HDB 2.00」條目的理解）或 XS Advanced 執行時中的 Web Dispatcher，也在列表中被點名（本站的解讀）。
開啟 SAP Note，確認已修復的級別
在 SAP Support Portal 上開啟下表中的說明編號。已修復的版本、所需的修補層級和變通辦法都在說明正文中。多行中出現了相同的核心版本，因此請在正文中確認一次核心更新是否能覆蓋多條說明，並一併規劃。
用 System Recommendations 查詢遺漏
如果您使用 SAP Solution Manager，System Recommendations 會列出適用於每個系統的安全說明。一般而言，如果系統資料已過期，它可能不會列出某條說明。請確認表中的編號已作為候選出現；若沒有，請重新整理系統資料後再次確認（本站補充）。沒有 Solution Manager 的話，請逐個手工核對說明編號。
規劃更新，包括重啟
核心更新通常意味著停止並重新啟動例項。請先測試，再提前預定生產環境的停機視窗。一般而言，冗餘的前端可以一次更新一個節點。重啟後，請確認正在執行的核心版本是新版本（以上內容不在 SAP 的文字中，是本站補充）。
在此之前，收窄能夠觸達這些系統的範圍
用防火牆關閉所有不需要從外部觸達的入口。讓 SAP Gateway 這類面向內部的端點遠離網際網路，只限於需要它們的伺服器。如果您配置了 SAML 2.0 認證，則可能受 CVE-2026-120017 影響，因此請先確認是否已設定（CVE 紀錄寫的是「在特定配置下」）。
對外暴露的 Web Dispatcher 或 ICM
最優先。無需認證即可觸達。今天就預定更新視窗
Gateway、SAML 2.0 認證
其次。限制能觸達它們的範圍，並確認是否在使用
三個 9.9 的漏洞，登入後可被利用
能登入的人多的環境更緊迫。否則按常規計劃
優先順序表（CVSS 10.0 和 9.9）
CVSS 分值在 SAP 的列表和 CVE 紀錄（由 SAP 分配）中一致。「前提條件」一列依據 CVE 紀錄中的描述。
| CVE | 產品 | CVSS | SAP Note | 前提條件（CVE 紀錄） |
|---|---|---|---|---|
| CVE-2026-89126 | SAP Web Dispatcher（記憶體破壞） | 10.0 | 3778556 | 無需認證；透過網路 |
| CVE-2026-76964 | NetWeaver AS ABAP 的 ICM（記憶體破壞） | 10.0 | 3778530 | 無需認證；透過網路 |
| CVE-2026-89103 | SAP Gateway（存取控制） | 10.0 | 3798345 | 無需認證；需要能透過網路存取 Gateway |
| CVE-2026-120017 | AS ABAP 和 ABAP Platform 的 SAML2 服務提供方（認證缺失） | 10.0 | 3849308 | 無需認證；在特定配置下 |
| CVE-2026-76965 | AS ABAP 和 ABAP Platform（作業系統命令執行） | 9.9 | 3792735 | 低權限登入 |
| CVE-2026-109795 | S4CRM（授權缺失） | 9.9 | 3834842 | 低權限登入 |
| CVE-2026-109803 | NetWeaver Knowledge Management（XML Forms，程式碼注入） | 9.9 | 3809153 | 已認證使用者 |
SAP 標為 Critical 的另外兩行是：
| CVE | 產品 | CVSS | SAP Note |
|---|---|---|---|
| CVE-2026-89119（附加 CVE：CVE-2026-120014） | Web Dispatcher 和 ICM（CSRF） | 9.6 | 3804858 |
| CVE-2026-109798 | SAP BusinessObjects BI（Web Intelligence，XXE） | 9.1 | 3799117 |
本站的看法：四個 CVSS 10.0 漏洞分佈在前端（Web Dispatcher、ICM）、中繼（Gateway）和認證（SAML2）上。對 SAP 環境來說，只保護其中一個攻擊面是不夠的。Web Dispatcher 和 ICM 還有其他針對記憶體破壞和拒絕服務的說明，CVSS 為 7.5 至 7.7（CVE-2026-109800、109793、109794），因此值得把前端和核心的更新作為一項工作統一規劃。哪個修補層級修復了什麼，請看說明正文。
SAP 發布了什麼
- 數量
- 35 條新的安全說明、4 條 GitHub 安全公告和 3 條對此前說明的更新（SAP 的描述）
- 優先順序分佈
- SAP 的列表共 42 行：9 行 Critical、17 行 High、15 行 Medium、1 行 Low（本站統計的行數）。其中包括 4 條 GitHub 條目和 3 條更新
- Critical（9 行）
- 四個為 CVSS 10.0，三個為 9.9，一個為 9.6，一個為 9.1
- 對此前說明的更新
- 2026 年 10 月（XSS，說明 3671819）、2026 年 7 月（WebClient UI，說明 3155685）和 2022 年 4 月（WebClient UI，說明 3101986）。如果您此前已套用過它們，請檢視更新後的內容
- 開發者庫
- 4 條 GitHub 公告涉及 SAP Cloud SDK for Python（0.63.1 之前和 0.50.0 之前）、SAP Cloud SDK for AI（JavaScript，2.17.0 及更早）和 SAP/astonish（3.6.0 之前）。請與 ERP 本身分開，檢查您所用的軟體包版本
- SAP 的建議
- 存取支援門戶並優先套用修補程式
- CVE-2026-89126、76964
- 記憶體破壞。未經認證的攻擊者傳送特製的網路流量，可能執行任意程式碼並完全攻陷系統。CVSS 3.1 為 10.0（網路、低複雜度、無需權限、無需使用者互動、範圍改變）
- CVE-2026-89103
- SAP Gateway 以高權限啟用預設的存取控制列表，因此外部攻擊者被當作內部應用伺服器。未經認證的攻擊者可能執行未經授權的操作。CVSS 3.1 為 10.0
- CVE-2026-120017
- 在特定配置下，傳入的認證斷言沒有被充分驗證。未經認證的攻擊者可能繞過認證並冒充任意使用者，包括特權帳戶。CVSS 3.1 為 10.0
- CVE-2026-76965、109795、109803
- 在低權限登入的情況下：作業系統命令執行（76965）、程式碼注入（109795），以及透過未經授權的 XSL 轉換執行任意程式碼（109803）。CVSS 3.1 為 9.9
- 已修復的版本和變通辦法
- CVE 紀錄中沒有。請看 SAP Note 的正文
被利用的情況
截至 2026 年 11 月 11 日，我們能確認的內容如下。
- SAP 的列表
- 沒有提到被利用
- KEV
- SAP 列表上的 45 個 CVE 均未列入 CISA 的已知被利用漏洞（KEV）目錄（11 月 10 日 19:00 UTC 版本）
- CISA 評估（SSVC）
- 附在四條紀錄上：CVE-2026-89126、120017、109803 和 109795。均為 exploitation: none（未見利用）。89126 和 120017 被評為可自動化，109803 和 109795 不是。四條的技術影響均為 total（完全）。76964、89103 和 76965 在我們檢視時沒有評估
本站的看法：「未見利用」是發布後不到一天時做出的評估。CISA 仍可能增加評估或改變評估。請趁這一狀況改變之前，先從暴露在外部的入口著手。
已知與未知的內容
| 專案 | 已公佈的內容 | 狀態 |
|---|---|---|
| 修補日的數量 | 35 條新說明、4 條 GitHub 公告、3 條更新（SAP） | 已確認（SAP） |
| 四個 CVSS 10.0 漏洞 | Web Dispatcher、ICM、Gateway、SAML2。產品和版本範圍（SAP 的列表、CVE 紀錄） | 已確認（SAP） |
| 三個 CVSS 9.9 漏洞 | ABAP、S4CRM、Knowledge Management。需要低權限登入（CVE 紀錄） | 已確認（SAP） |
| 已修復的版本和修補層級 | 在 SAP Note 的正文中（需要登入） | 未核實 |
| 變通辦法 | 列表和 CVE 紀錄中均沒有 | 未說明 |
| 被利用 | SAP 的列表和 KEV 中均沒有；四條 CISA 評估均為未見利用 | 未說明 |
| 被加入 KEV | 11 月 10 日 19:00 UTC 版本中沒有 | 未說明 |
如果您把運維交給別人
請向您的外包方或 SAP 支援聯絡人提出這三個問題。
- 我們的 SAP 核心和 SAP_BASIS 版本是什麼，Web Dispatcher 和 ICM 的版本是什麼
- 表中的 SAP Note 將在何時套用，在哪個帶重啟的停機視窗中
- Web Dispatcher 和 Gateway 能否從網際網路或合作伙伴網路觸達，我們是否使用 SAML 2.0 認證
本站的看法：版本清單能讓每個月的更新都更快
SAP 的修補日每月一次，更新的延誤通常不是因為漏洞本身，而是因為安排停機視窗和測試。如果您儲存著一份清單，紀錄哪些系統能從外部看到、各自執行哪個核心版本，就不必每個修補日都從零開始。如何確定優先順序，請參見決定先修補什麼（CVSS、EPSS、KEV）。
時間線
2026 年 11 月 10 日
SAP 舉行安全修補日：35 條說明、4 條 GitHub 公告和 3 條更新。同一天（UTC）發布了 7 條 CVE 紀錄。11 月 10 日（UTC，傍晚）
CISA 為其中四條 CVE 紀錄附上 exploitation: none（未見利用）的評估。KEV 的 JSON（19:00 UTC 版本）中不包含 SAP 列表上的 CVE。11 月 11 日
本站檢視 SAP 的列表、CVE 紀錄和 KEV，併發布本文。
參考來源（公開紀錄）
2026 年 11 月 11 日查閱。首先列出 SAP 自己的發布。SAP Note 的正文需要登入，未查閱。
- SAP「Security Patch Day - November 2026」（2026 年 11 月 10 日，英文）— support.sap.com
- CVE 紀錄（2026 年 11 月 10 日發布；由 SAP 分配）：CVE-2026-89126 / CVE-2026-76964 / CVE-2026-89103 / CVE-2026-120017 / CVE-2026-76965 / CVE-2026-109795 / CVE-2026-109803
- CISA 已知被利用漏洞目錄（對照 2026 年 11 月 10 日 19:00 UTC 版本核查）— cisa.gov / JSON
更新紀錄
2026-11-11：首次發布，依據 SAP 的列表、7 條 CVE 紀錄和 KEV（11 月 10 日 19:00 UTC 版本）。沒有被利用的報導。SAP Note 的正文尚未查閱。
延伸閱讀
- 漏洞披露之後：漏洞被披露時該怎麼做 / 決定先修補什麼（CVSS、EPSS、KEV）
- 另一次一併修復多個問題的發布：2026 年 10 月 28 日的 Jenkins 安全公告（15 個問題）
- 事前準備：安全資產清單
- 術語：什麼是 CVE / 什麼是 CVSS