SAP, 13 Ekim 2026’daki aylık yama gününde 16 yeni güvenlik notu ve 4 GitHub güvenlik duyurusu yayımladı; daha önce yayımlanmış 2 not da güncellendi. Listenin başında, SAP Cloud SDK for Python kütüphanesinde CVSS 10,0 puanla derecelendirilen bir sunucu taraflı istek sahteciliği (SSRF) açığı var.
Ne oldu
SAP’nin yama günü sayfasındaki tabloda en yüksek puanlı dört kayıt şöyle: CVE-2026-89111, SAP Cloud SDK for Python’da OAuth2 akışında SSRF, 10,0 puan, 0.45.2 öncesi sürümler, not 3797111 ve GitHub güvenlik duyurusu GHSA-4mv3-jxxm-9cx2; CVE-2026-89110, SAP NetWeaver Visual Composer’da bozuk erişim denetimi, 9,9 puan, not 3805589 (VC70RUNTIME 7.50); CVE-2026-89107, SAP S/4HANA’da “Manage Substitution/Validation Rules” bileşeninde kod enjeksiyonu, 9,9 puan, not 3798788 (S4CORE 105–109); CVE-2026-89108, SAP Manufacturing Integration and Intelligence’ın yapılandırma servisinde eksik yetki denetimi, 9,1 puan, not 3800517 (XMII 15.4 ve 15.5). Dördü de SAP’nin “Critical” önceliğinde.
Sayfanın güncellenen notlar bölümünde CVE-2026-89107 yeniden, 9,9 puanla listeleniyor. Yama günü sayfası, açıkların sahada istismar edildiğine dair bir ifade içermiyor; bildirenlerin adları tabloda değil, SAP’nin ayrı teşekkür sayfasında.
Kimleri etkiler
Kurumsal kaynak planlama ve üretim tarafında SAP kullanan kurumlar. Cloud SDK for Python, SAP Business Technology Platform üzerinde Python ile uzantı geliştiren ekiplerin kullandığı bir kütüphane; açığın kapatılmış sürümü 0.45.2. NetWeaver Visual Composer ve S/4HANA kayıtları, çekirdek ERP sistemlerini; MII kaydı ise üretim sahası ile ERP arasında köprü kuran kurulumları ilgilendiriyor.
SAP sistemleri çoğu zaman doğrudan internete açık olmaz; ancak 9,9 puanlı erişim denetimi ve kod enjeksiyonu kayıtları, iç ağa erişimi olan bir saldırgan ya da ele geçirilmiş bir kullanıcı hesabı için ciddi bir basamak oluşturur. Bu yüzden “dışarıdan erişilemiyor” gerekçesi yamayı erteletmemeli.
Üretici ne öneriyor
SAP’nin önerisi, ilgili güvenlik notlarının kurulması: Cloud SDK for Python için not 3797111 ile 0.45.2 ya da üstüne geçiş; NetWeaver Visual Composer için not 3805589; S/4HANA için not 3798788; MII için not 3800517. Her notun ayrıntısı, ön koşulları ve varsa geçici önlemleri SAP ONE Support Launchpad’de, erişim için SAP destek hesabı gerekiyor.
Yama günü sayfasının tamamı ve 16 notun listesi yan sütundaki bağlantıda.
