SAP NetWeaver AS ABAP'ın SAML2 oturum açma bileşenindeki güvenlik açığı, kimliği doğrulanmamış bir saldırganın ayrıcalıklı hesaplar dahil herhangi bir kullanıcıyı taklit etmesine izin veriyordu.
SAP, Kasım güvenlik yamalarında 9 açığı kritik öncelikte sınıflandırdı; bunların 4'ünün risk puanı 10,0. Şirket, müşterilere yamaları öncelikle uygulamalarını önerdi.
Kimlik doğrulama nasıl atlatılıyordu
CVE-2026-120017 koduyla izlenen açık, SAP NetWeaver AS ABAP ve ABAP Platform'un SAML2 hizmet sağlayıcısı bileşeninde eksik kimlik doğrulamadan kaynaklanıyor. Sistem bazı yapılandırmalarda gelen kimlik doğrulama iddialarını yeterince doğrulamıyor. Kimliği doğrulanmamış bir saldırgan özel hazırlanmış veriyle kimlik doğrulama aşamasını atlatıp ayrıcalıklı hesaplar dahil herhangi bir kullanıcının kimliğine bürünebiliyor. Başarılı bir saldırı sistemin tamamen ele geçirilmesine yol açabiliyor ve etkisi bağlı bileşen ile sistemlere uzanabiliyor. Etkilenen sürümler SAP_BASIS 702, 731, 740, 750 ile 758 arası, 816, 920, 921 ve 922 olarak listelenirken, hangi yapılandırmaların etkilendiği açıklanmadı.
10,0 puanlı diğer üç açık
En yüksek risk puanına sahip diğer açıklardan CVE-2026-76964, SAP NetWeaver AS ABAP'ın İnternet İletişim Yöneticisi bileşeninde bellek bozulmasına neden oluyor. CVE-2026-89126 ise SAP Web Dispatcher'da benzer bir bellek bozulması yaratıyor. İki açıkta da kimliği doğrulanmamış saldırgan ağ trafiğiyle kod çalıştırıp sistemi ele geçirebiliyor. SAP Gateway bileşenindeki bozuk erişim denetimi açığı CVE-2026-89103, varsayılan erişim denetim listesinin yüksek ayrıcalıklarla etkinleşmesine neden oluyor. Ağ erişimi olan kimliği doğrulanmamış saldırgan yetkisiz işlemler yapabiliyor.
Kalan kritik açıklar
Risk puanı 9,9 olan açıklardan CVE-2026-109803, NetWeaver Knowledge Management XML Forms'ta yetkili bir kullanıcının kod enjekte etmesine imkan tanıyor. CVE-2026-76965, ABAP uygulama sunucusunda düşük yetkili saldırganın işletim sistemi komutu çalıştırmasına neden oluyor. CVE-2026-109795 ise S4CRM'de düşük yetkili saldırganın uzaktan erişilebilen bir arayüz üzerinden kod çalıştırmasını sağlıyor.
SAP Web Dispatcher ve İnternet İletişim Yöneticisi'nde bulunan 9,6 puanlı CVE-2026-89119 açığı, siteler arası istek sahteciliğine yol açıyor. Kimliği doğrulanmamış saldırgan oturum açmış bir yöneticiyi kandırarak alttaki işletim sistemini ele geçirebiliyor. 9,1 puanlı CVE-2026-109798 ise BusinessObjects Business Intelligence Platform bileşeninde XML dış varlık açığı oluşturuyor ve saldırganın hassas dosyaları okumasını sağlıyor.
İstismar bilgisi ve Türkiye açısından
SAP sayfasında ve kayıtlarında bu açıkların istismar edildiğine dair bilgi açıklanmadı. Açıklar ABD siber güvenlik ajansının kataloğunda 10 Kasım 2026 itibarıyla yer almıyor. Siber Güvenlik Başkanlığı 10 Kasım 2026'da yayımladığı bildirimde kullanıcılara bülteni inceleyip önlem almalarını önerdi. Başkanlığın listesinde CVE-2026-120017 ve CVE-2026-89126 yer almıyor; ancak bu iki açık SAP'nin sayfasında kritik olarak geçiyor. Türkiye açısından SAP sistemlerini işleten kurumlar SAML2 ile oturum açma kullanan ABAP sistemlerini, SAP Web Dispatcher ve SAP Gateway bileşenlerini önceliklendirmeli. Kaynaklarda etkilenen kurum sayısı yer almıyor.
Kaynaklar
- SAP, SAP Security Patch Day, November 2026, 10 Kasım 2026
- NVD, CVE-2026-120017, 10 Kasım 2026
- Siber Güvenlik Başkanlığı, TR-26-1495 SAP Çoklu Bileşen Güvenlik Bildirimi, 10 Kasım 2026
- CISA, Bilinen İstismar Edilen Açıklar (KEV) kataloğu
Kapak görseli: «SAP AG headquarter Walldorf building 1», Vladislav Bezrukov, Wikimedia Commons, CC BY 2.0 (16:9 kırpıldı, 1200×675).
