SAP закрыла четыре уязвимости с CVSS 10.0, две ведут к удалённому выполнению кода
SAP устранила четыре уязвимости с максимальной оценкой CVSS 10.0, которые эксплуатируются без входа в систему. Три из них относятся к серверу приложений NetWeaver, одна к Web Dispatcher, который принимает веб-запросы из интернета.
Главное в цифрах
- Количество уязвимостей с CVSS 10.0: четыре
- Исправлений для kernel и Web Dispatcher в этом месяце: 17
- Уязвимость SAML CVE-2026-44748 исправлена: 9 июня
Уязвимости закрыли в рамках ежемесячного Security Patch Day. Ошибки в Web Dispatcher и Internet Communication Manager (ICM), который обрабатывает веб-трафик сервера, позволяют злоумышленнику, имеющему сетевой доступ к ПО, выполнить код. Для этого не нужно никаких действий пользователя.
Уязвимость CVE-2026-120017 в SAML 2.0 service provider, который передаёт вход пользователя поставщику идентификации, позволяет войти под любым пользователем на части систем с единым входом SAML, в том числе под привилегированным. По словам вендора, дальше возможна полная компрометация, которая может затронуть связанные системы.
Шлюз и доверенные серверы
В SAP Gateway, который связывает сервер с другими системами и программами, злоумышленник может выдать себя за один из собственных серверов системы и совершать несанкционированные действия. В CVE-2026-89103 шлюз включает свой список контроля доступа с высокими привилегиями, и внешний атакующий может считаться одним из серверов приложений.
Отдельная уязвимость SAML, CVE-2026-44748, была исправлена 9 июня. Для её использования требовалась обычная учётная запись.
Патчи опубликованы в SAP for Me, для доступа нужна авторизация. Каждое исправление выпущено отдельной нотой, а затронутые версии различаются в зависимости от компонента.
Что рекомендуют
В анализе Patch Day компания RedRays, которая разобрала ноты в SAP for Me, советует обновить kernel и все Web Dispatcher одним развёртыванием. Оно должно охватить все 17 исправлений месяца для kernel и Web Dispatcher. SAP рекомендует установить обновления в первоочередном порядке.
