أصدرت SAP في 10 نوفمبر 2026 تحديثاتها الأمنية الشهرية، وفيها أربع ثغرات بتقييم CVSS 10.0، في مكونات من SAP NetWeaver وSAP Web Dispatcher وSAP Gateway. وتقول شركتا Onapsis وRedRays اللتان حللتاها إن استغلالها لا يتطلب تسجيل دخول.
وبحسب تحليل Onapsis لخلل WebSocket، وهي التي كشفت ثلاثاً من الأربع، فإن ثغرتين منها، CVE-2026-76964 في مدير الاتصالات ICM وCVE-2026-89126 في Web Dispatcher، سببهما خلل واحد في كود kernel المشترك الذي يعيد تجميع رسائل WebSocket المجزأة. ويؤدي الخلل إلى تلف في الذاكرة قد ينتهي بتنفيذ أوامر على الخادم بصلاحيات مستخدم النظام sidadm، دون بيانات دخول أو تفاعل من المستخدم، ودعم WebSocket مفعل افتراضياً. وسلمت Onapsis شركة SAP استغلالاً تجريبياً عاملاً للخلل، وتسميه ICM2SHELL، ولم تنشر تفاصيله. ويمكن للخلل نفسه أن يتسبب في انهيار ICM أو Web Dispatcher.
وصدر الإصلاح في ملاحظتي SAP الأمنيتين 3778530 و3778556. وإلى حين التحديث يمكن تعطيل دعم WebSocket، لكن Onapsis تقول إن لذلك أثراً كبيراً في السيناريوهات التي تعتمد عليه. ويشير التحليل إلى أن مستوى التصحيح 419 من الإصدار 7.93 ما زال معرضاً للثغرة، وأن الإصلاح في المستويين 401 و420.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
أما الثغرة الثالثة، CVE-2026-89103 في SAP Gateway، فتسميها Onapsis PROXYGATE وتصفها بأنها تنفيذ كود عن بعد قبل المصادقة. ووفق تحليل Onapsis لثغرة PROXYGATE، يتحدد إمكان استغلالها بقائمة التحكم في وصول الوكيل prxyinfo؛ فإن لم توجد القائمة فإعداد gw/acl_mode_proxy يأتي افتراضياً بالقيمة 0، أي السماح بكل اتصالات الوكيل، ويكون النظام معرضاً للثغرة. وتنصح Onapsis بتقييد القائمة أولاً، والإصلاح في ملاحظة SAP رقم 3798345.
والرابعة، CVE-2026-120017، في خدمة SAML2 بنظام SAP NetWeaver AS ABAP. وتقول RedRays في تحليلها لثغرة SAML2 إن الخدمة قد تقبل ردوداً دون التحقق من توقيعها، فيستطيع مهاجم غير موثق يصل إلى نقطة مزود الخدمة تزوير رد وانتحال أي مستخدم، ومنهم أصحاب الصلاحيات العالية. ولا حل مؤقت لها بحسب RedRays، والعلاج بتطبيق تعليمات التصحيح أو حزمة الدعم المحددة في ملاحظة SAP رقم 3849308.
ولم ترصد Onapsis حتى 10 نوفمبر استغلالاً فعلياً لثغرتي ICM وWeb Dispatcher ولا لثغرة Gateway، ولا يرد في نشرة SAP ولا في تحليل RedRays ذكر لاستغلال الثغرة الرابعة.
وتشمل ثغرات ICM وWeb Dispatcher وGateway إصدارات kernel الخارجة عن الصيانة، ومنها 7.40 و7.49 و7.89، وقد لا تتلقى إصلاحاً، فتلزم الترقية إلى إصدار مدعوم. وتوصي Onapsis بتحديث Web Dispatcher وICM المكشوفين للإنترنت أولاً، وتضييق الوصول عبر HTTP وHTTPS، ومراقبة سجلي dev_icm وdev_webdisp بحثاً عن انهيارات غير متوقعة.
