SAP, Ekim 2026 Güvenlik Yaması Günü kapsamında 22 yeni ve güncellenmiş güvenlik notu yayımladığını açıkladı. Bunlar arasında Cloud SDK for Python, NetWeaver Visual Composer, S/4HANA ve Manufacturing Integration and Intelligence ürünlerinde sınıflandırılan dört kritik güvenlik açığı bulunuyor. Şirket, bu kusurların gerçek saldırılarda istismar edildiğine dair herhangi bir bilgi vermedi; ancak kullanıcılara uygulamaları mümkün olan en kısa sürede güncellemelerini tavsiye etti.
Tamamen ele geçirilmeye yol açabilecek güvenlik açıkları
En yüksek önem derecesine sahip güvenlik açığı CVE-2026-89111 kodunu taşıyor ve CVSS puanı 10 üzerinden 10. Bu, Cloud SDK for Python'daki OAuth2 ile ilişkili bir SSRF güvenlik açığı ve çok kiracılı BTP uygulamalarını etkiliyor. SAP'nin GitHub'da yayımladığı bildirime göre, tenant_subdomain parametresini kontrol eden bir saldırgan, OAuth2 belirteci isteklerini kontrolündeki bir sunucuya yeniden yönlendirebilir ve bu durum müşteri kimlik bilgilerinin sızdırılmasına yol açabilir.
CVE-2026-89110'un önem derecesi ise 10 üzerinden 9,9 ve NetWeaver Visual Composer'daki belirli işlevlerde bulunan bir erişim denetimi kusuruyla ilişkili. Kurumsal uygulama güvenliği şirketi Onapsis, düşük ayrıcalıklara sahip bir saldırganın önceden yapılandırılmış uzak bir sistemde dahili işlemleri çağırabileceğini ve bunun sistemin tamamen ele geçirilmesiyle sonuçlanabileceğini belirtti.
SAP ayrıca S/4HANA'daki CVE-2026-89107 güvenlik açığını da gideriyor. Bu açığın puanı 10 üzerinden 9,9. Kusur, belirli koşullar altında, Fiori uygulamalarında belirli bir iş rolüne sahip kimliği doğrulanmış bir saldırganın rastgele ABAP kodu yürütmek için özel olarak hazırlanmış girdiler göndermesine olanak tanıyor. Kusur, kural tanımlama işlemi sırasında girdilerin uygun şekilde doğrulanmamasından kaynaklanıyor.
CVE-2026-89108'in puanı 10 üzerinden 9,1 ve güvenlik açığı Manufacturing Integration and Intelligence ürünündeki yetkilendirme denetiminin eksikliğinden kaynaklanıyor. XMII Admin ayrıcalıklarına sahip bir saldırgan, temel Java uygulama sunucusunda yönetici hesabı oluşturabilir ve bu da sistemin tamamen ele geçirilmesine olanak tanır.
Uygulamada ne değişiyor?
Bu güncelleme paketi farklı riskleri bir araya getiriyor: OAuth2 istekleri üzerinden kimlik bilgilerinin sızdırılması, erişim denetimlerinin aşılması, ABAP kodu enjeksiyonu ve yönetici hesaplarının oluşturulması. Bu nedenle etkileri tek bir bileşenle sınırlı kalmayabilir; ürünlere, yapılandırmalara ve saldırganın kullanabildiği rollere bağlı olarak kurumsal SAP sistemlerine ve bunların dayandığı süreçlere yayılabilir.
SAP ayrıca Commerce Cloud, NetWeaver ve ABAP Platform'daki rastgele SQL komutlarının enjekte edilmesine, bir işlemin çökmesine veya güvenlik kısıtlamalarının aşılmasına olanak tanıyabilecek yüksek önem dereceli güvenlik açıklarını da giderdi. Kaynak, etkilenen ürün sürümlerini veya ayrı güncelleme tarihlerini belirtmiyor; ayrıca yayımlanma tarihi itibarıyla güvenlik açıklarının aktif olarak istismar edildiğini kanıtlamıyor.
Kullanıcıların gözden geçirmesi gerekenler
SAP yönetim ekipleri, Ekim 2026 SAP güvenlik notlarını incelemeli, fiilen yayımlanmış bileşenleri belirlemeli ve onaylı değişiklik prosedürleri doğrultusunda uygun güncellemeleri uygulamalıdır. Güvenlik açıkları ayrıca, özellikle Fiori ve XMII ile ilişkili roller olmak üzere rol izinlerinin gözden geçirilmesini ve çok kiracılı uygulamaların yapılandırmalarının doğrulanmasını gerektiriyor. Her ortamın maruz kalma düzeyine göre düzeltme önceliği değişir; zira kaynak, tüm dağıtımların aynı şekilde istismar edilebilir olduğunu belirtmiyor.