SAP, 10 Kasım 2026’daki aylık Security Patch Day kapsamında 35 yeni güvenlik notu ve 4 GitHub güvenlik danışmanlığı yayımladı, daha önce yayımlanmış 3 notu güncelledi; 39 yeni kaydın 9’u Critical, 17’si High, 12’si Medium ve 1’i Low öncelikli, dördünün CVSS puanı 10.0 ve SAP’nin sayfasında herhangi bir açığın istismar edildiğine dair bir ifade bulunmuyor.
Künye
| Üretici | SAP |
|---|---|
| Yayın tarihi | 10 Kasım 2026 |
| Yeni güvenlik notu | 35 |
| GitHub güvenlik danışmanlığı | 4 (hepsi High) |
| Güncellenen not | 3 (hepsi Medium) |
| Yeni kayıtların önceliği | 9 Critical, 17 High, 12 Medium, 1 Low |
| CVSS 10.0 not | 4 |
| Yeni kayıtlardaki CVE | 43 farklı CVE |
| İstismar beyanı | Yok |
CVSS 10.0 Olan Dört Not
| Not | CVE | Ürün | Tür |
|---|---|---|---|
| 3778530 | CVE-2026-76964 | NetWeaver AS ABAP (ICM) | Bellek bozulması |
| 3778556 | CVE-2026-89126 | Web Dispatcher | Bellek bozulması |
| 3798345 | CVE-2026-89103 | SAP Gateway | Bozuk erişim denetimi |
| 3849308 | CVE-2026-120017 | NetWeaver AS ABAP ve ABAP Platform (SAML2 Service Provider) | Eksik kimlik doğrulama |
Son satırdaki SAML2 açığı SAP_BASIS 702 ile 922 arasındaki sürümleri kapsıyor. Kurumsal oturum açmada SAML kullanan sistemler için bu not ayrıca önemlidir, çünkü sorun doğrudan kimlik doğrulama adımında.
Diğer Critical Notlar
CVSS 9.9 puanlı üç not var: NetWeaver Knowledge Management’ın XML Forms bileşenindeki kod enjeksiyonu (3809153, CVE-2026-109803, KMC-CM 7.50), ABAP Application Server’daki işletim sistemi komut enjeksiyonu (3792735, CVE-2026-76965) ve S4CRM’deki eksik yetkilendirme kontrolü (3834842, CVE-2026-109795). Kalan iki Critical not, Web Dispatcher ve ICM’deki siteler arası istek sahteciliği (3804858, CVE-2026-89119 ve CVE-2026-120014, CVSS 9.6) ile BusinessObjects BI Platform Web Intelligence’taki XML harici varlık açığıdır (3799117, CVE-2026-109798, CVSS 9.1).
GitHub Danışmanlıkları ve Güncellenen Notlar
Dört GitHub danışmanlığının hepsi High öncelikli ve SAP’nin açık kaynak geliştirici araçlarını ilgilendiriyor: SAP Cloud SDK for Python’da JWT imza doğrulama sorunu (0.63.1 öncesi, CVSS 7.5) ve yol geçişi açığı (0.50.0 öncesi, CVSS 7.5), SAP Cloud SDK for AI’ın JavaScript sürümünde bilgi ifşası (v2.17.0 ve öncesi, CVSS 7.5) ve astonish paketinde kiracılar arası sandbox ele geçirme (v3.6.0 öncesi, CVSS 7.1). Güncellenen üç not Ekim 2026, Temmuz 2026 ve Nisan 2022’de ilk kez yayımlanmış notlar.
Aynı gün yayımlanan Microsoft yamaları için Microsoft Kasım 2026 Yama Salısı, istismar edilen kurumsal cihaz açıkları için Barracuda ve Cisco BroadWorks sayfalarımıza bakabilirsiniz.
SAP Patch Day Nedir?
SAP, güvenlik düzeltmelerini her ayın ikinci salı günü “Security Patch Day” adıyla toplu olarak yayımlar. Düzeltmeler “güvenlik notu” adı verilen belgelerle dağıtılır ve notların tam içeriği SAP Support Portal hesabıyla okunabilir. SAP önceliği Critical, High, Medium ve Low olarak sınıflandırır ve müşterilerine yamaları öncelik sırasına göre uygulamalarını önerir. Yeni kayıtlar ile eski notların güncellemeleri aynı tabloda yer aldığı için “kaç not yayımlandı” sorusunun cevabı, sayılan kalemlere göre değişebilir.
Bu Sayfada Ne Yok?
- Herhangi bir notun istismar edildiği bilgisi: SAP sayfasında istismar beyanı yok; sayfa bu açıkları sıfırıncı gün olarak sunmaz.
- Notların ayrıntılı teknik içeriği: SAP Support Portal girişi gerektirdiği için okunmadı.
- Açıkları bulan araştırmacılar: okunan tabloda yer almıyor.
- “Hot News” etiketi: sayfada öncelik Critical olarak yazıyor; bu sayfada başka etiket kullanılmamıştır.
- Türkiye’deki SAP kullanıcılarına özel bir uyarı: hiçbir resmî kaynakta yer almıyor.
- Medium ve Low öncelikli notların tek tek listesi: sayfa Critical notlara odaklanıyor.
- 45 CVE rakamı: bu sayı güncellenen notları da içerir; yeni kayıtlardaki CVE sayısı 43’tür.
Sık Sorulan Sorular
SAP Kasım 2026 Patch Day’de kaç not yayımlandı?
35 yeni güvenlik notu ve 4 GitHub danışmanlığı; ayrıca 3 eski not güncellendi.
Kaç Critical not var?
39 yeni kaydın 9’u Critical öncelikli.
CVSS 10.0 olan açıklar hangileri?
NetWeaver AS ABAP ICM, Web Dispatcher, SAP Gateway ve NetWeaver SAML2 Service Provider’daki dört not.
Bu açıklar istismar ediliyor mu?
SAP’nin sayfasında istismar edildiğine dair bir ifade bulunmuyor.
SAP Patch Day ne zaman yapılır?
Her ayın ikinci salı günü. Kasım 2026’da 10 Kasım’a denk geldi.
Notların ayrıntısını nereden okuyabilirim?
SAP Support Portal’dan, kurumsal SAP hesabıyla.
Kaynak ve kapsam: Bilgiler SAP’nin November 2026 Security Patch Day sayfasından okunmuş, öncelik ve CVE sayıları tablodan tek tek sayılmıştır. Notların portal içi ayrıntısı ve bulan araştırmacılar okunmadığından yazılmamıştır. Veri tarihi: 13 Kasım 2026.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yapın.