SAP Patch Day 10 ноября 2026: четыре уязвимости с оценкой CVSS 10.0

10 ноября 2026 года SAP выпустила ноябрьский Security Patch Day: 35 новых бюллетеней безопасности и четыре GitHub-уведомления. Четыре уязвимости получили максимальную оценку CVSS 10.0: ими можно воспользоваться по сети, без прав и без участия пользователя. О признаках эксплуатации издания не сообщают. Что делать: найти в системе NetWeaver AS ABAP, Web Dispatcher и Gateway, сверить ноты и поставить исправления в приоритетном порядке.

Что именно закрыли

Вектор у всех четырёх один: сеть, низкая сложность, привилегии не нужны, взаимодействия с пользователем нет, влияние высокое на конфиденциальность, целостность и доступность. Ниже по шкале идут уязвимости на 9.9 (внедрение кода и OS command injection в NetWeaver, отсутствие проверки прав в S4CRM), две CSRF-ошибки на 9.6 в Web Dispatcher и ICM, а также XXE на 9.1 в BusinessObjects Web Intelligence.

Кого это касается

Организации, у которых есть собственные системы SAP на ABAP: производство, торговля, дистрибуция. Для сайтов и интернет-магазинов тема актуальна, если витрина или портал обращается к SAP через Gateway или Web Dispatcher, то есть эти компоненты доступны из интернета или из сети партнёров. Web Dispatcher часто стоит именно на периметре, поэтому смотреть нужно в первую очередь на него.

Что делать

1. Составьте перечень компонентов: NetWeaver AS ABAP (ICM), Web Dispatcher, Gateway, ABAP Platform, S4CRM, BusinessObjects.
2. Откройте страницу SAP Security Notes за ноябрь и сверьте версии по каждой ноте. Данные об уязвимых версиях в изданиях не приводятся, в нотах они есть.
3. Начните с четырёх нот на 10.0 и с компонентов, доступных снаружи.
4. Если исправление нельзя поставить сразу, ограничьте доступ к Web Dispatcher и Gateway на уровне сети и фильтров.
5. Проверьте, что ранее установленные исправления не обновлялись: SAP пересмотрела старые ноты по WebClient UI и GUI for HTML.
6. После установки проверьте обмен с сайтом, интеграции и авторизацию: исправления SAP иногда требуют настроить права.

Как мы бы подошли к приоритетам

Если SAP в компании один и администрирует его подрядчик, спросите письменно: какие из четырёх нот применимы, в какой срок будут установлены и кто проверит работу интеграций. Мы советуем фиксировать это в регламенте, как описано в разборе поддержки сервера. Для связки сайта и учётной системы работает мониторинг: он заметит, что обмен остановился после обновления. Если нужна независимая оценка периметра, смотрите аудит безопасности.

Источники: Cybersecurity News, GBHackers, первоисточник — SAP Security Notes.