De nieuwste SAP patcht CVSS 10-update gaat verder dan “een paar verbeteringen”: SAP heeft tijdens de maandelijkse Security Patch Day vier kwetsbaarheden gefixt met de hoogste ernstscore. Het bijzondere aan deze batch is dat aanvallers volgens SAP misbruik konden maken zonder in te loggen en zonder dat gebruikers iets hoeven te doen.
Drie van de lekken bevinden zich in componenten van SAP NetWeaver. Eén kwetsbaarheid zit in Web Dispatcher, het onderdeel dat webverkeer van internet ontvangt en doorstuurt naar de applicatieserver. In combinatie met kwetsbaarheden in de webverwerking kan dit voor een aanvaller deuren openen naar volledige systeemcompromittatie.
Wat is er gepatcht tijdens SAP’s Security Patch Day?
SAP beoordeelt alle vier de gefixten problemen met CVSS 10.0, wat wijst op maximaal risico. Voor elk lek hoort een eigen SAP-Note met bijbehorende pakket-/versieniveaus. SAP adviseert om deze correcties als prioriteit door te voeren.
De kern van het risico zit in onderdelen die webverkeer verwerken of authenticatie en koppelingen ondersteunen. Daarmee raakt de update zowel omgevingen met publieke toegang als installaties waar gebruikers via SSO-toegang tot bedrijfsapplicaties komen.
Remote code execution: lekken in Web Dispatcher en ICM
Twee van de vier kwetsbaarheden gaan direct over het uitvoeren van code nadat een aanvaller toegang heeft tot de systemen via het netwerk. SAP beschrijft dat een aanvaller die het getroffen softwareonderdeel kan bereiken, misbruik kan maken om code te laten lopen.
- ICM (Internet Communication Manager): kwesties rond webverkeer kunnen leiden tot geheugenbeschadiging, waarna code-uitvoering mogelijk wordt.
- Web Dispatcher: dezelfde oorzaak als bij het ICM-lek kan misbruik mogelijk maken via netwerkverkeer richting de dispatcher.
Concreet gaat het om CVE’s die SAP heeft gekoppeld aan het corrupt maken van geheugen, met als gevolg dat een volledige overname van het systeem kan volgen wanneer een aanvaller succesvol is.
Kwetsbaar SAML 2.0: inloggen als andere gebruiker
Naast remote code execution is er ook een authenticatie-gerelateerd risico. Het probleem zit in de SAML 2.0 service provider die gebruikersaanmeldingen overdraagt aan een identity provider.
Op getroffen configuraties kan een aanvaller volgens SAP inloggen als elke gebruiker in bepaalde omgevingen met SAML single sign-on. Dat is extra gevaarlijk omdat een succesvolle aanval verder kan gaan dan alleen “een account gebruiken”: SAP geeft aan dat daarna een volledige compromis mogelijk kan zijn, inclusief het bereiken van gekoppelde systemen.
Er is ook een verwant SAML-issue in hetzelfde softwaregebied dat eerder al is gecorrigeerd. Dit onderstreept dat SAML-gerelateerde componenten niet “eenmalig” moeten worden bekeken, maar periodiek in lijn met patchcycli.
SAP Gateway: spoofing van eigen servers en ongeautoriseerde acties
De vierde kwetsbaarheid gaat over SAP Gateway. Dit onderdeel verbindt de server met andere SAP-systemen en programma’s. Bij dit lek kan een aanvaller zich volgens SAP voordoen als een van de eigen systeemservers, waarna ongeautoriseerde acties mogelijk worden.
Volgens de beschrijving gebruikt Gateway toegangsregels om te bepalen welke externe programma’s verbinding mogen maken en welke processen gestart mogen worden. In de getroffen situatie kan de default-set met hoge privileges ertoe leiden dat een externe partij wordt behandeld als een intern “vertrouwd” type. Daardoor kan een aanvaller door richting normale aanvalspaden.
Geen workaround: waarom patchen nu telt
Wat dit patchpakket extra urgent maakt, is dat SAP in de analyse aangeeft dat voor ten minste sommige componenten geen echte workaround beschikbaar is. Correcties via de genoemde support packages en instructies uit de bijbehorende SAP Notes zijn dan de aangewezen route.
Voor websocket-gerelateerde kwesties geldt wel een “last resort” optie: SAP noemt dat het uitschakelen van WebSocket-ondersteuning het probleem kan blokkeren tot de patch is doorgevoerd. Tegelijk waarschuwt SAP dat dit functies kan raken die op WebSocket leunen.
Welke versies en SAP Notes zijn van belang?
SAP publiceert per kwetsbaarheid een eigen nootje met de getroffen versies en het juiste fix-pad. Omdat de componenten verschillen (standalone versus ingebed, en varianten in NetWeaver/HANA-achtige setups), is het niet voldoende om alleen “SAP NetWeaver is geüpdatet” te concluderen.
RedRays, een partij die de notes in SAP voor Me heeft beoordeeld, adviseert in de praktijk om kernel en alle Web Dispatchers in één gezamenlijke rollout te updaten. Daarmee vergroot u de kans dat alle fixes binnen één wijzigingsvenster worden afgedekt, inclusief alle kernel- en webdispatchercomponenten die in dezelfde maand onder de wijziging vallen.
Toegespitst advies per lek
Onderstaand volgt een praktische vertaalslag van de kernpunten uit de SAP- en analysebeschrijvingen.
1) SAML2 (CVE-2026-120017)
Op specifieke configuraties is de controle op signatures van inkomende SAML-asserties onvoldoende. RedRays adviseert daarom om systemen die SAML2 gebruiken voor browserlogon (bijvoorbeeld via Fiori Launchpad of Web GUI achter een identity provider) als “in scope” te behandelen totdat u aantoonbaar kunt uitsluiten dat uw opzet kwetsbaar is.
Omdat er geen workaround wordt genoemd, loopt u de meeste risico’s door niets te doen. Daarnaast adviseert de analyse om in transaction SAML2 alle trusted identity providers na te gaan en auditlogs te bekijken op SAML-logons door privileged gebruikers vanaf onverwachte bronnen.
2) SAP Gateway (CVE-2026-89103)
Waar expliciete regels ontbreken of waar een fallback optreedt op basis van interne instellingen, kan de gateway uitkomen bij regels die interne serverroutes toestaan. Als een aanvaller zich als een “eigen server” presenteert, kan die vervolgens door naar bekende aanvalspaden richting command execution.
De fix beschrijft onder meer een kernel-/profielparameter (gw/acl_mode_proxy) voor bepaalde kernelreeks. De analyse benadrukt daarnaast dat u na patching de configuratie moet valideren: zet de juiste ACL-modus, check of secinfo en reginfo expliciete regels bevatten, en beperk bereikbaarheid van gatewaypoorten zodat die niet van user networks of vanaf het internet te bereiken zijn.
3) ICM (CVE-2026-76964)
De kwetsbaarheid ontstaat door websocket control frames met een onjuiste lengte die kunnen leiden tot een heap out-of-bounds write voordat een inlog plaatsvindt. SAP geeft aan dat SAP NetWeaver AS Java niet is getroffen door dit specifieke issue.
Als ICM alleen via Web Dispatcher bereikbaar is, kan het patchen van de Web Dispatcher volgens de analyse de ICM “voor nu” afdekken. Voorwaarden daarbij: ICM-poorten mogen niet direct te bereiken zijn.
4) Web Dispatcher (CVE-2026-89126)
Ook deze kwetsbaarheid deelt de onderliggende oorzaak met het ICM-lek. SAP noemt dat het effect heeft op zowel standalone als ingebedde Web Dispatchers. Voor HANA varianten gelden aparte updatepaden en versienummers.
De analyse benadrukt vooral één operational detail: vind elke Web Dispatcher. Als er één instantie gemist wordt, blijft het lek open, ook als u de rest wel heeft geüpdatet.
Snelle aanpak: zo pakt u dit praktisch op
Als u met SAP omgevingen werkt, is de grootste valkuil bij dit soort patchcycli niet de technische complexiteit, maar de verspreiding van componenten over omgevingen (dev/test/prod) en installatietypes.
- Inventariseer direct alle getroffen onderdelen: NetWeaver, Web Dispatcher, en Gateway, inclusief ingebedde varianten.
- Plan één wijzigingsronde waarin kernel en alle relevante Web Dispatchers tegelijk worden bijgewerkt.
- Controleer bereikbaarheid van ICM- en gatewaypoorten. Beperk externe toegang waar dat kan.
- Valideer configuraties na patching: SAML trusted identity providers, gateway ACL-instellingen en auditlogs.
Wilt u ook breder zien waarom patchvertraging in web- en netwerkcomponenten zo gevaarlijk kan worden? Lees dan aanvullend onze achtergrond over dreiging en patchvertraging bij OpenSSH meldingen. De overeenkomst zit in het patroon: aanvallers profiteren van open aanvalsvlakken zodra de kwetsbaarheid actief misbruikt wordt.
Waarom deze batch extra aandacht verdient
Veel kwetsbaarheden vereisen een zekere “voorwaarde” zoals gebruikersinteractie of een ingelogde status. In deze SAP-update ligt dat anders: SAP benoemt dat de problemen kunnen werken zonder gebruiker actie en in meerdere gevallen zonder inloggen.
Dat betekent dat uw verdediging vooral draait om snelheid en volledigheid: patch de juiste componenten, in de juiste versies, op alle plekken waar de software draait.
Conclusie
SAP patcht CVSS 10 is geen “kleine onderhoudsronde”, maar een serieuze beveiligingsupdate met vier hoogst scorende kwetsbaarheden. Vooral de combinatie van remote code execution via netwerkbereik en het authenticatie-/gatewayrisico vraagt om directe actie.
Door Web Dispatcher, ICM en Gateway in samenhang te inventariseren, de juiste SAP Notes te volgen en de configuraties na patching te controleren, verkleint u het risico op snelle compromittatie aanzienlijk.
Let op: volg de concrete instructies in SAP Notes (SAP for Me) voor uw versies en componenten. Als u wilt, kan ik op basis van uw setup (welke NetWeaver/dispatcher/gateway varianten) helpen vertalen waar u waarschijnlijk het eerst moet kijken.
Bron: https://thehackernews.com/2026/11/sap-patches-four-cvss-100-flaws.html
