Siber Güvenlik Başkanlığı, SAP'nin S/4HANA, NetWeaver, Commerce Cloud, Manufacturing Integration and Intelligence, Cloud SDK ve Cloud Connector dahil birden fazla bileşenindeki 16 güvenlik zafiyeti için TR-26-1305 kodlu bildirim yayımladı. Başkanlık, SAP güvenlik yama günü bülteninin incelenmesini ve gereken önlemlerin alınmasını tavsiye ediyor.
Başkanlık 13 Ekim 2026'da yayımladığı bildirimde, sistemlerdeki mevcut açıklıklar nedeniyle saldırganların bu zafiyetleri kullanarak saldırı gerçekleştirmesinin ihtimal dâhilinde olduğunu belirtti. Güvenlik bildiriminde çözüm adımı olarak üreticinin yayımladığı SAP Security Patch Day bültenindeki önlemler adres gösterildi.
Öne çıkan güvenlik açıkları ve etkilenen bileşenler
CVE kayıtlarında yer alan bilgilere göre listedeki açıklardan öne çıkanlar şunlar:
- CVE-2026-89111 (CVSS 10.0): SAP Cloud SDK for Python bileşeninde OAuth2 SSRF zafiyeti; çok kiracılı BTP uygulamalarını etkiliyor.
- CVE-2026-89107 (CVSS 9.9): SAP S/4HANA Manage Substitution/Validation Rules aracında kod enjeksiyonu.
- CVE-2026-89110 (CVSS 9.9): SAP NetWeaver Visual Composer üzerinde yetki denetimi eksikliği.
- CVE-2026-89108 (CVSS 9.1): SAP Manufacturing Integration and Intelligence (MII) yapılandırma hizmetinde yetki denetimi eksikliği.
- CVE-2026-89113 (CVSS 8.8): SAP Commerce Cloud bileşeninde SQL enjeksiyonu.
- CVE-2026-58249 (CVSS 7.5): SAP NetWeaver ve Web Dispatcher Internet Communication Manager üzerinde bellek bozulması.
Listede yer alan diğer açıklar CVE-2026-58242, CVE-2026-89122, CVE-2026-89121, CVE-2026-89120, CVE-2026-89118, CVE-2026-89117, CVE-2026-89106, CVE-2026-89105, CVE-2026-76976 ve CVE-2026-76972: ABAP Platform, NetWeaver Enterprise Portal, Cloud Connector, SAPUI5, S/4HANA Linear Asset Management, cloud-security-services-integration-library ve GUI for HTML bileşenlerindeki yetki denetimi zayıflıkları, açık yönlendirme, bilgi ifşası ve siteler arası betik çalıştırma (XSS) zafiyetlerini kapsıyor.
Açıkların sahada istismar edilip edilmediği ya da etkilenen kurulumların toplam sayısı resmi kayıtlarda yer almıyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı TR-26-1305 Bildirimi
- SAP Security Patch Day
- CVE-2026-89111 Kaydı
- CVE-2026-89107 Kaydı
Kapak görseli: SAP logosu / Wikimedia Commons, kamu malı (PD-textlogo; 1200×675 uyarlandı).
