2026-11-11
SAP 2026 年 11 月安全修補日：四個 CVSS 10.0 漏洞。先修補對外的 Web Dispatcher 和 ICM；如何確認是否受影響以及今天該做什麼
2026 年 11 月 10 日，SAP 的安全修補日發布了 35 條新的安全說明（Security Note）和 4 條 GitHub 安全公告，並更新了 3 條此前的說明。SAP 的列表將 9 行標為 Critical（嚴重）。其中四個為 CVSS 10.0：NetWeaver AS ABAP 的 Internet Communication Manager（ICM）中的記憶體破壞（CVE-2026-76964），SAP Web Dispatcher 中的記憶體破壞（CVE-2026-89126），SAP Gateway 中的存取控制缺陷（CVE-2026-89103），以及 AS ABAP 的 SAML2 服務提供方中的認證缺失（CVE-2026-120017）。CVE 紀錄稱這四個漏洞均無需認證、可透過網路利用、無需使用者互動（CVE-2026-120017 為在特定配置下）。另有三個為 CVSS 9.9（CVE-2026-109803、CVE-2026-76965、CVE-2026-109795），需要低權限登入。SAP 的列表沒有提到被利用，該頁面上的 CVE 均未列入 CISA 的 KEV 目錄（11 月 10 日 19:00 UTC 版本）。在 CVE 紀錄所附的 CISA 評估中，我們能看到的四條均為 exploitation: none（未見利用）。SAP Note 的正文需要登入才能檢視，本站未讀取。本站的結論：先修補對外的 Web Dispatcher 和 ICM，在 SAP Note 中確認已修復的版本級別，並把包括重啟在內的更新納入計劃。