SAP виправила чотири вразливості максимальної критичності
SAP усунула 35 вразливостей, зокрема чотири критичні помилки у NetWeaver, Gateway та Web Dispatcher.
SAP у листопадовому пакеті оновлень безпеки 2026 року усунула 35 вразливостей, серед яких чотири помилки з максимальною оцінкою критичності. Вони зачіпають NetWeaver, Web Dispatcher і Gateway. Про це повідомляє BBC News.
Компанія оцінила всі чотири вразливості у 10 балів із 10 за шкалою CVSS. За її даними, неавтентифіковані зловмисники можуть віддалено використати ці помилки для повної компрометації систем, яких вони стосуються.
Помилки в NetWeaver
Дві критичні вразливості виявили у компонентах NetWeaver Application Server ABAP: Internet Communication Manager та SAML2 Service Provider. Перша, CVE-2026-76964, пов’язана з пошкодженням пам’яті, а CVE-2026-120017 — із відсутністю автентифікації. NetWeaver є базовою платформою для програмного забезпечення SAP і відповідає, зокрема, за інтеграцію застосунків, автентифікацію, керування користувачами та оброблення даних.
Gateway і Web Dispatcher
Ще дві вразливості стосуються SAP Gateway і SAP Web Dispatcher. CVE-2026-89103 є помилкою контролю доступу в Gateway, а CVE-2026-89126 — вразливістю пошкодження пам’яті у Web Dispatcher. Gateway дає зовнішнім застосункам змогу безпечно підключатися до внутрішніх систем SAP, тоді як Web Dispatcher працює як балансувальник навантаження та зворотний проксі для вебзапитів.
Компанія Onapsis, яка виявила й повідомила про три з цих проблем, об’єднала CVE-2026-76964 та CVE-2026-89126 під назвою ICM2SHELL. Вразливість CVE-2026-89103, що дозволяє віддалене виконання коду до автентифікації, дослідники назвали PROXYGATE. За оцінкою Onapsis, PROXYGATE може змусити SAP Gateway сприйняти зовнішнього неавтентифікованого зловмисника як внутрішній сервер застосунків, що відкриває можливість отримати контроль над системою від імені облікового запису, якому належить інсталяція.
