SAP Patchday: Kritik güvenlik açıkları yetkisiz erişime izin veriyor

Kurumsal yazılım şirketi SAP, Mayıs Patchday'i için 15 yeni güvenlik notu yayınladı. Geliştiriciler, tartışılan güvenlik açıklarından ikisini kritik riskler olarak sınıflandırıyor. Saldırganlar, veritabanı komutlarını enjekte etmek veya kimlik doğrulamayı atlamak için SQL enjeksiyonunu kullanabilir.

Şirket, SAP'nin Patchday genel bakış sayfasında bireysel güvenlik notlarını listeliyor. SAP S/4HANA'da (ABAP için SAP Kurumsal Arama), kimliği doğrulanmış saldırganlar, uygun şekilde filtrelenmemiş kötü amaçlı SQL sorguları ekleyebilir. Bu, temel veritabanına yetkisiz erişim elde etmelerine veya SAP uygulamasının çökmesine neden olabilir (CVE-2026-34260, CVSS) 9.6risk”eleştirmenSAP Commerce Cloud'da Spring Security'nin yanlış yapılandırılması, kimliği doğrulanmamış saldırganların kötü amaçlı yapılandırmalar yüklemesine ve kod eklemesine de olanak tanıyarak rastgele sunucu tarafında kod yürütülmesine neden olur (CVE-2026-34263, CVSS) 9.6risk”eleştirmen“).

SAP Patchday: 15 güvenlik notu

Ayrıca SAP Forecasting & Replenishment'te saldırganların işletim sistemine komutlar eklemesine olanak tanıyan bir güvenlik açığı bulunmaktadır (CVE-2026-34259, CVSS) 8.2risk”yüksek“). Diğer raporlar çoğunlukla orta düzeyde risk ve endişeyi temsil etmektedir:

• ABAP ve ABAP Platformu için SAP NetWeaver Uygulama Sunucusu,
• SAP S/4HANA koşullarının sürdürülmesi,
• Şirket Sunucu Sayfaları Uygulaması (TAF_APPLAUNCHER),
• SAP BusinessObjects İş Zekası platformu,
• SAP Strategic Enterprise Management (BSP Balanced Scorecard Uygulama Sihirbazı),
• SAP Ticaret Bulutu (Apache Log4j),
• SAPUI5 (arama kullanıcı arayüzü),
• SAP NetWeaver Uygulama Sunucusu ABAP (iş sunucusu sayfa tabanlı uygulamalar),
• SAP finansal konsolidasyonu,
• Ayrıca SAP Teşvik ve Komisyon Yönetimi
• SAP NetWeaver ve ABAP platformu için SAP Uygulama Sunucusu ABAP.

SAP ayrıca SAP HANA Dağıtım Altyapısı (HDI) dağıtım kitaplığında düşük riskli bir güvenlik açığını da geliştiriyor. BT yöneticileri, SAP'nin güvenlik açığı bulunan yazılımlarını kullanıp kullanmadıklarını kontrol etmeli ve mevcut yamaları derhal uygulamalıdır.

Nisan ayındaki SAP Yama Günü biraz daha kapsamlıydı: Geliştiricilerin 19 güvenlik açığını düzeltmesi gerekiyordu. Bunlardan biri kritik kabul edildi ve aynı zamanda SQL enjeksiyon tipindeydi.

(Bilmiyorum)