Giriş
SAP, Temmuz 2026 güvenlik güncellemeleri kapsamında, kritik bir güvenlik açığı da dahil olmak üzere çok sayıda açığı gidermek için güncellemeler yayınladı. Bu açık, veri ihlaline ve sistem kesintilerine yol açabilecek ciddi bir tehdit oluşturuyor.
Saldırı Nasıl Çalışıyor?
CVE-2026-44747 (CVSS skoru: 9.9), SAP NetWeaver Uygulama Sunucusu ABAP’ta bulunan bir “out-of-bounds write” açığıdır. Bu açık, kimlik doğrulaması yapılmış bir saldırganın, bellek yönetimindeki mantıksal hataları kullanarak bellek bozulmasına yol açmasını ve yetkisiz veri erişimi, değişikliği veya sistemin kullanılamaz hale gelmesine neden olmasını sağlar.
Etkilenen Sistemler
SAP tarafından tespit edilen diğer iki kritik güvenlik açığı da şunlardır:
- CVE-2026-27690 (CVSS skoru: 9.1) – SAP Approuter dağıtımlarında, kimliği doğrulanmamış bir saldırganın özel olarak hazırlanmış bir HTTP isteği göndererek istek-yanıt senkronizasyonunu bozmasına olanak tanıyan bir HTTP isteği/yanıt sızıntısı açığıdır. Bu durum, kullanıcı yanıtlarının açığa çıkmasına ve servis redine (DoS) yol açabilir.
- CVE-2026-44761 (CVSS skoru: 9.1) – SAP Commerce Cloud’da varsayılan kimlik bilgilerini kullanan bir açıktır. Bu açık, halka açık olarak belgelenmiş örnek kimlik bilgileriyle birlikte bir OAuth 2.0 istemcisinin korunmasına olanak tanır.
Çözüm ve Korunma
SAP güvenlik firması Onapsis, CVE-2026-44747 için geçici bir çözüm önerisi sunmuştur: SICF işleminde belirli bir özellikyle tüm ICF düğümlerinin devre dışı bırakılması. Ancak bu çözüm, SAP GUI için tüm müşteriler için uygun olmayabilir ve kullanıcıların ABAP Kernel versiyonunu yüklemeleri şiddetle tavsiye edilmektedir.
CVE-2026-44761’deki güvenlik açığı, SAP Yardım Portalında daha önce sağlanan örnek yapılandırma betiklerinden kaynaklanmaktadır. Müşterilere, bu betikleri geliştirme ve test amaçlarıyla kullandıysalar bile, prodüksiyon ortamlarında default (varsayılan) ayarların korunmamasını şiddetle tavsiye ediyoruz.
Aksiyon
Müşterilerin, prodüksiyon ortamlarını etkileyen durumları denetlemeleri, örnek OAuth 2.0 istemcisini kaldırmaları ve oluşturulan gizli anahtarları güçlü ve benzersiz değerlerle değiştirmeleri gerekmektedir. Ayrıca, güncellemelerin uygulanması, olası tehditlere karşı optimum koruma sağlamaktadır. Hakkında daha fazla bilgi edinmek için gerekli güncellemelerin yapılmasını ihmal etmeyin.
