Hledat English

Kritické CVSS 10,0 Aktuálně

SAP Security Patch Day listopad 2026: čtyři chyby s maximálním skóre CVSS 10

SAP v úterý 10. listopadu 2026 vydal 35 nových bezpečnostních poznámek, z toho devět kritických. Čtyři chyby mají maximální skóre CVSS 10,0 a týkají se jádra systémů SAP – Internet Communication Manageru, Web Dispatcheru, SAP Gateway a přihlašování přes SAML. O zneužívání zatím SAP nepíše. Pokud spravujete SAP NetWeaver nebo S/4HANA, naplánujte opravu jádra a SAP_BASIS co nejdřív.

Redakce Kyberkitu · · událost ze dne · čtení na 4 minuty · Pro správce a analytiky

Kritické: SAP Patch Day 11/2026, CVE-2026-76964, CVSS 10,0

Ve zkratce

  • Týká se: správců SAP NetWeaver AS ABAP, SAP Web Dispatcheru, S/4HANA CRM a BusinessObjects BI. Čtyři chyby s CVSS 10,0 jsou v jádru (kernel) a v SAP_BASIS, tedy prakticky v každé instalaci ABAP.
  • Tři z nich (CVE-2026-76964 v ICM, CVE-2026-89126 ve Web Dispatcheru, CVE-2026-89103 v SAP Gateway) jdou podle NVD zneužít po síti bez přihlášení. Čtvrtá (CVE-2026-120017) umožní za určité konfigurace SAML2 přihlásit se jako libovolný uživatel.
  • Zneužívání: SAP ani CISA k 10. 11. 2026 nic nehlásí, technický rozbor ani indikátory zatím nikdo nezveřejnil.
  • Co udělat: nasaďte poznámky 3778530, 3778556, 3798345 a 3849308 (aktualizace jádra a SAP_BASIS), omezte síťový přístup k ICM, Gateway a Web Dispatcheru a zkontrolujte ACL brány.

Zranitelnosti: CVE-2026-76964, CVE-2026-89126, CVE-2026-89103, CVE-2026-120017, CVE-2026-109803, CVE-2026-76965, CVE-2026-109795, CVE-2026-89119, CVE-2026-109798

Co se stalo

SAP v úterý 10. listopadu 2026 vydal v rámci pravidelného Security Patch Day 35 nových bezpečnostních poznámek, 4 bezpečnostní oznámení na GitHubu a 3 aktualizace starších poznámek. Devět oprav má prioritu Critical, čtyři z nich maximální skóre CVSS 3.1 10,0. Všechny čtyři jsou v základních komponentách, které běží téměř v každé instalaci SAP NetWeaver AS ABAP a S/4HANA.

CVE Komponenta Poznámka SAP CVSS Přihlášení
CVE-2026-76964 Internet Communication Manager (ICM) 3778530 10,0 ne
CVE-2026-89126 SAP Web Dispatcher 3778556 10,0 ne
CVE-2026-89103 SAP Gateway 3798345 10,0 ne
CVE-2026-120017 SAML2 Service Provider (SAP_BASIS) 3849308 10,0 ne (za určité konfigurace)
CVE-2026-109803 NetWeaver Knowledge Management (XML Forms) 3809153 9,9 ano, nízká práva
CVE-2026-76965 Aplikační server ABAP (kernel) 3792735 9,9 ano, nízká práva
CVE-2026-109795 S/4HANA CRM 3834842 9,9 ano, nízká práva
CVE-2026-89119 Web Dispatcher a ICM (CSRF) 3804858 9,6 ne, ale klik správce
CVE-2026-109798 BusinessObjects BI (Web Intelligence) 3799117 9,1 ano

Technické podrobnosti

Všechny údaje pocházejí ze záznamů CVE, které do NVD zapsal SAP (NVD je k 10. 11. ještě neanalyzovala). Technický rozbor výzkumníků zatím nevyšel.

  • CVE-2026-76964 – ICM: poškození paměti (CWE-1287) při zpracování upraveného síťového provozu. Útočník bez přihlášení může podle SAP spustit vlastní kód a ovládnout systém. ICM je komponenta, která v systému ABAP obsluhuje HTTP a HTTPS.
  • CVE-2026-89126 – Web Dispatcher: přetečení haldy (CWE-122) vyvolané síťovým vstupem bez přihlášení, s možností spuštění kódu. Kromě samostatného Web Dispatcheru se týká i XS Advanced a HANA (HDB 2.00).
  • CVE-2026-89103 – SAP Gateway: chybná autorizace (CWE-863). Výchozí seznam řízení přístupu (ACL) brány považuje externí klienty za interní aplikační servery a dává jim vysoká práva. Útočník se síťovým přístupem k bráně pak může jednat uvnitř systému bez přihlášení.
  • CVE-2026-120017 – SAML2: nesprávné ověření podpisu (CWE-347). Za určitých konfigurací systém neověří příchozí přihlašovací tvrzení (assertion), takže útočník se může přihlásit jako kterýkoli uživatel včetně správců. SAP_BASIS 702 až 922.

Návod ke zneužití nezveřejňujeme.

Proč jsou chyby v ICM, Web Dispatcheru a Gateway nebezpečné1. Útočník má síťový přístup k Web Dispatcheru, ICM nebo SAP Gateway; 2. Pošle upravený požadavek – bez jména a hesla; 3. Poškození paměti nebo chybná ACL mu dá běh kódu či práva aplikačního serveru; 4. Ovládne systém SAP a data v něm (finance, HR, zakázky)1Útočník má síťový přístup k WebDispatcheru, ICM nebo SAP Gateway2Pošle upravený požadavek – bez jménaa hesla3Poškození paměti nebo chybná ACL mudá běh kódu či práva aplikačníhoserveru4Ovládne systém SAP a data v něm(finance, HR, zakázky)
Cesta útočníka při neopravených komponentách (podle záznamů CVE od SAP)

Koho se to týká

  • ICM (CVE-2026-76964): kernel 7.53, 7.54, 7.77, 7.93, 9.16, 9.18 a 9.20.
  • Web Dispatcher (CVE-2026-89126): WEBDISP 7.53, 7.54, 7.77, 7.93, 9.16, 9.18, 9.20; XS_ADVANCED_RUNTIME 1.00; SAP_EXTENDED_APP_SERVICES 1; kernel 7.53, 9.18, 9.20; HDB 2.00.
  • SAP Gateway (CVE-2026-89103): kernel 7.22, 7.22EXT, 7.53, 7.54, 7.77, 7.93, 8.04, 9.16, 9.20 a 9.21.
  • SAML2 (CVE-2026-120017): SAP_BASIS 702, 731, 740, 750–758, 816 a 920–922 – jen systémy, kde je zapnuté přihlašování přes SAML2 a „určitá konfigurace“, kterou SAP veřejně nepopsal (je v poznámce 3849308).

Nejvíc ohrožené jsou systémy, jejichž Web Dispatcher nebo ICM je dostupný z internetu (portály, Fiori, rozhraní pro partnery), a sítě, kde se k SAP Gateway (porty 33NN) dostane kdokoli z vnitřní sítě.

Jak poznat napadení

SAP indikátory napadení nezveřejnil a o útocích nic neuvádí. Co doporučujeme sledovat (vlastní doporučení, ne pokyn SAP):

  • Pády a restarty procesů ICM, Web Dispatcheru a brány (dev_icm, dev_webdisp, dev_rd) – poškození paměti se často projeví nejdřív pádem.
  • Gateway log a registrace programů z neznámých adres (SMGW), nové RFC spojení a programy spuštěné přes bránu.
  • Přihlášení přes SAML k účtům správců z neobvyklých míst a v neobvyklou dobu (Security Audit Log, SM20/RSAU_READ_LOG).
  • Nové uživatele a změny oprávnění, zvlášť SAP_ALL a SAP_NEW.

Indikátory, které případně zveřejní SAP nebo CERT, si ze zprávy vytáhnete v extraktoru IOC. Vektory ze záznamů CVE si přepočítáte v CVSS kalkulačce.

Co udělat

  1. Aktualizujte jádro (kernel) na všech aplikačních serverech ABAP a na Web Dispatcheru podle poznámek 3778530, 3778556 a 3798345. Jedna aktualizace jádra opraví víc chyb najednou.
  2. Nasaďte poznámku 3849308 (SAML2, SAP_BASIS), pokud používáte přihlašování přes SAML – typicky Fiori a portál s jednotným přihlášením.
  3. Omezte síťový přístup: SAP Gateway a Message Server nemají být dostupné z internetu ani z běžné uživatelské sítě. Na hranici nechte jen Web Dispatcher a jen nutné cesty.
  4. Projděte ACL brány (secinfo a reginfo) – výchozí nastavení je u CVE-2026-89103 právě to, co chyba zneužívá. Po opravě ověřte, že pravidla neobsahují povolení pro všechny hostitele.
  5. Pak řešte ostatní kritické poznámky – S/4HANA CRM (3834842), Knowledge Management (3809153), BusinessObjects (3799117) a příkazy OS v jádru (3792735).

Časová osa

Časová osa SAP Security Patch Day listopad 202610. 11. 2026: SAP vydává 35 poznámek, devět kritických; záznamy CVE v NVD; 10. 11. 2026: Žádné hlášené zneužití, chyby nejsou v CISA KEV; 8. 12. 2026: Další pravidelný SAP Security Patch Day10. 11. 2026SAP vydává 35 poznámek, devětkritických; záznamy CVE v NVD10. 11. 2026Žádné hlášené zneužití, chybynejsou v CISA KEV8. 12. 2026Další pravidelný SAP SecurityPatch Day
Zveřejnění oprav (SAP, NVD)

Aktualizace

  • 10. 11. 2026 – první verze článku.

Časté otázky

Zneužívají se tyto chyby?

K 10. 11. 2026 to SAP na stránce Security Patch Day neuvádí a chyby nejsou v katalogu CISA KEV. Systémy SAP ale bývají cílem rychle po zveřejnění oprav – útočníci porovnají opravené a neopravené jádro. Opravu proto neodkládejte na příští čtvrtletní okno.

Proč nemůžu poznámky SAP přečíst?

Bezpečnostní poznámky SAP jsou jen pro zákazníky s přihlášením na portál podpory SAP. Veřejný je jen přehled na stránce Security Patch Day a záznamy CVE v NVD, ze kterých vychází tento článek.

Týká se to cloudu SAP BTP nebo RISE?

Kdo opravy nasazuje u systémů provozovaných v RISE with SAP nebo u jiného poskytovatele, určuje smlouva – ověřte si to u poskytovatele. Mezi opravami jsou i čtyři oznámení na GitHubu: tři pro knihovny SAP Cloud SDK (Python, JavaScript) a jedno pro projekt SAP/astonish. Knihovny si aktualizují vývojáři aplikací sami.

Stačí aktualizovat jen Web Dispatcher na hraně sítě?

Ne. Chyby v ICM, SAP Gateway a SAML2 jsou na aplikačních serverech ABAP. Web Dispatcher je samostatná oprava. Aktualizujte jádro na všech aplikačních serverech i na Web Dispatcheru.

Zdroje

  1. SAP – Security Patch Day, November 2026 (10. 11. 2026)
  2. NVD – CVE-2026-76964 (ICM)
  3. NVD – CVE-2026-89126 (Web Dispatcher)
  4. NVD – CVE-2026-89103 (SAP Gateway)
  5. NVD – CVE-2026-120017 (SAML2 Service Provider)

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.