Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

SAP łata cztery luki z oceną CVSS 10.0 w NetWeaver i Web Dispatcher

SAP wydał poprawki czterech luk z maksymalną oceną CVSS 10.0. Dwie pozwalają uruchomić kod bez logowania, jedna pozwala zalogować się jako dowolny użytkownik przez SAML.

Karta wpisu: SAP łata cztery luki z oceną CVSS 10.0 w NetWeaver i Web Dispatcher

SAP w listopadowym Security Patch Day załatał cztery luki ocenione na 10.0 w skali CVSS. Każdą da się wykorzystać bez logowania i bez udziału użytkownika. Błędy w Internet Communication Manager (CVE-2026-76964) i Web Dispatcher (CVE-2026-89126) pozwalają uszkodzić pamięć spreparowanym ruchem sieciowym i uruchomić kod. CVE-2026-120017 w dostawcy usług SAML 2.0 umożliwia na części systemów z logowaniem SAML SSO wejście jako dowolny użytkownik, także uprzywilejowany. CVE-2026-89103 w SAP Gateway wynika z domyślnej listy dostępu z wysokimi uprawnieniami, dzięki której zewnętrzny atakujący może podszyć się pod serwer aplikacyjny systemu.

Kogo dotyczy

Firmy korzystające z serwera aplikacyjnego SAP NetWeaver (trzy luki) oraz z SAP Web Dispatcher, który przyjmuje żądania z internetu. Luka SAML dotyczy systemów z jednokrotnym logowaniem SAML. Podatne wersje różnią się w zależności od komponentu.

Co zrobić

Każdą lukę usuwa osobna nota bezpieczeństwa SAP, dostępna po zalogowaniu w SAP for Me. Producent zaleca wdrożyć je w pierwszej kolejności.

TAB. 2

Źródła

1
The Hacker News — SAP Patches Four CVSS 10.0 Flaws, Including Two Enabling Remote Code Executionthehackernews.com
TAB. 3

Powiązane

3
13.11.2026PodatnościAtaki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNP
13.11.2026PodatnościPostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerze
13.11.2026PodatnościRed Hat Quay: luka CVE-2026-123710 pozwala czytać i podmieniać prywatne obrazy kontenerów

Wszystkie wpisy →

Blog 24/7
14.11Osaka: atak na serwis Arara ujawnił ponad milion adresów e-mail mieszkańcówtherecord.media14.11ArcticRAT przejmuje telefony z Androidem i przez AI szuka danych finansowych w SMS-achdarkreading.com14.11Zespół Białego Domu ds. AI chce ulg dla firm po cyberatakach z użyciem AIcybersecuritydive.com14.11Platformy AI automatyzują ataki, Talos widzi w sieci ponad 700 instancji PentAGIblog.talosintelligence.com14.11FBI ostrzega przed Artex, platformą AI, która automatyzuje włamaniatherecord.media13.11Ataki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNPthehackernews.com13.11Gootloader otworzył drogę do 44 ataków ransomware, straty 28,8 mln dolarówtherecord.media13.11PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerzethehackernews.com13.11Autopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatnościsekurak.pl13.11University of Texas at Arlington potwierdza kradzież danych po ataku gangu Qilintherecord.media