SAP Ekim yamaları: Cloud SDK'da CVSS 10, S/4HANA'da kritik kod enjeksiyonu kapatıldı

SAP, 13 Ekim 2026'da aylık güvenlik yama gününü yayımlayarak kurumsal ürünlerindeki çok sayıda kritik açığı kapattı. Bunların en ciddisi, Python için SAP Cloud SDK'daki en yüksek kritiklik puanına sahip açık ve SAP S/4HANA'daki kod enjeksiyonu hatası. SAP'ın duyuru sayfasına göre dört kayıt kritik olarak işaretlendi ve CVSS puanları 9.1 ile 10 arasında değişiyor. Açıkların bir kısmını bildiren güvenlik şirketi Onapsis, bu ay üçü HotNews, dördü yüksek öncelikli olmak üzere toplam 21 yeni ve güncellenmiş SAP güvenlik notu yayımlandığını hesaplıyor; SDK açığı ise standart bir SAP notu yerine GitHub güvenlik tavsiyesi üzerinden takip ediliyor.

Neler oldu?

SAP'ın sayfasında görüldüğü üzere en ciddi sorun, SAP Cloud SDK for Python'un 0.45.2 öncesi sürümlerindeki sunucu taraflı istek sahteciliği (SSRF) açığı CVE-2026-89111 (CVSS 10). SecurityOnline'ın aktardığına göre açık, çok kiracılı SAP BTP uygulamalarını etkiliyor: Kiracı alt alan adı değerini kontrol edebilen bir saldırgan, OAuth2 token isteklerini kendi sunucusuna yönlendirebiliyor. SAP'a göre bu durum, kimlik doğrulaması gerekmeden istemci kimlik bilgilerinin dışarı sızdırılmasına yol açabiliyor. Yayına göre SAP, açığın aktif olarak istismar edildiğine dair bir bulgu bildirmedi.

İki açık daha CVSS 9.9 puan aldı. CVE-2026-89107, SAP S/4HANA'nın ikame ve doğrulama kurallarını yöneten işlevindeki bir kod enjeksiyonu açığı. Onapsis'in açıklamasına göre belirli bir Fiori iş rolüne sahip kullanıcılar, kural işleme mantığının çalıştırılabilir ABAP kodu olarak yorumladığı özel hazırlanmış girdiler gönderebiliyor; bu da sistemin tamamen ele geçirilmesine kadar gidebiliyor. CVE-2026-89110 ise SAP NetWeaver Visual Composer'daki bir erişim denetimi açığı. Onapsis'e göre bu açık, düşük yetkili bir saldırganın önceden yapılandırılmış uzak bir sistemde dahili işlemleri tetiklemesine imkân tanıyor.

Teknik detaylar

Dördüncü kritik kayıt olan CVE-2026-89108 (CVSS 9.1), SAP Manufacturing Integration and Intelligence'ın (XMII 15.4 ve 15.5) yapılandırma servisini etkiliyor. Onapsis'e göre belirli uç noktalara ağ erişimi olan kimliği doğrulanmış bir XMII yöneticisi, alttaki Java uygulama sunucusunda yönetici yetkili bir hesap oluşturup sistemi tamamen ele geçirebiliyor.

Yüksek öncelikli düzeltmeler arasında SAP Commerce Cloud'daki SQL enjeksiyonu açığı (CVE-2026-89113, CVSS 8.8) ve NetWeaver Internet Communication Manager ile SAP Web Dispatcher'daki bellek bozulması sorunu (CVE-2026-58249, CVSS 7.5) yer alıyor. Onapsis'e göre Commerce Cloud açığı, kimliği doğrulanmış saldırganlarca liste API parametreleri üzerinden tetiklenebiliyor. Web Dispatcher açığı ise kimlik doğrulaması olmadan süreci çökertmeye imkân veriyor, ancak yalnızca HTTP/2'nin etkin olduğu kurulumları etkiliyor.

Ne yapmalı?

S/4HANA, Visual Composer içeren NetWeaver portalları, SAP MII, SAP Commerce Cloud veya Python Cloud SDK ile geliştirilmiş çok kiracılı BTP uygulamaları kullanan kurumların kritik notlara öncelik vermesi gerekiyor. SecurityOnline, Cloud SDK for Python'un tüm çok kiracılı BTP uygulamalarında güncellenmesini ve ardından OAuth2 istemci kimlik bilgilerinin yenilenmesini öneriyor. Onapsis'in aktardığına göre S/4HANA açığı için SAP'ın geçici çözümü, etkilenen OData servisini devre dışı bırakmak; ancak bu, ilgili Fiori uygulamalarında kural eklemeyi ve değiştirmeyi engelliyor. Visual Composer yaması ise veri servisi izin listesini varsayılan olarak etkinleştiriyor; Onapsis bu ayarın yama öncesinde de elle açılabileceğini belirtiyor. MII açığı için SAP herhangi bir geçici çözüm sunmuyor.