Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-120017 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-10 |
| Producent | SAP |
| Produkt | NetWeaver Application Server ABAP |
| Typ podatności | obejście uwierzytelniania (niewystarczająca weryfikacja asercji) (CWE-347) |
| Notka SAP | 3849308 |
| CVSS Score | 10.0 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, SAP
SAP NetWeaver AS ABAP i ABAP Platform w określonych konfiguracjach nie weryfikuje w wystarczającym stopniu przychodzących asercji uwierzytelniających. Nieuwierzytelniony atakujący może przesłać specjalnie spreparowane dane, aby obejść uwierzytelnianie i podszyć się pod dowolnego użytkownika, w tym konta uprzywilejowane. Udany atak może doprowadzić do pełnego przejęcia systemu, a jego skutki mogą objąć połączone komponenty i systemy poza zaatakowanym. Wpływ na poufność, integralność i dostępność jest wysoki.
Luka została opublikowana w ramach SAP Security Patch Day z listopada 2026 r. Atak nie wymaga uwierzytelnienia.
Wymagane działania
- Wdróż poprawkę z notki SAP 3849308 (SAP Security Patch Day, listopad 2026) — priorytetowo, bo luka nie wymaga uwierzytelnienia.
- Sprawdź w notce, których konfiguracji uwierzytelniania dotyczy problem, i ustal, czy występują w Twoich systemach.
- Przejrzyj SAP Security Audit Log pod kątem nietypowych logowań na konta uprzywilejowane i techniczne, zwłaszcza z nieznanych adresów.
- Ogranicz dostęp sieciowy do usług HTTP(S) systemów ABAP z internetu i z szerokich segmentów sieci wewnętrznej.
Kogo dotyczy?
Podatność dotyczy SAP NetWeaver Application Server ABAP. NVD nie podaje konfiguracji CPE — listę podatnych wersji i pakietów poprawek zawiera notka SAP 3849308 (wymaga konta SAP for Me). W Polsce z systemów SAP korzystają głównie średnie i duże przedsiębiorstwa (ERP, S/4HANA, platformy NetWeaver), dlatego warto zweryfikować także systemy utrzymywane przez partnerów i dostawców usług.
Ten sam Patch Day objął osiem innych krytycznych luk SAP: CVE-2026-109795, CVE-2026-109798, CVE-2026-109803, CVE-2026-76964, CVE-2026-76965, CVE-2026-89103, CVE-2026-89119, CVE-2026-89126.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-120017?
CVE-2026-120017 to luka w SAP NetWeaver Application Server ABAP — obejście uwierzytelniania (niewystarczająca weryfikacja asercji) — oceniona na CVSS 10 (krytyczny poziom zagrożenia). SAP opublikował poprawkę w notce 3849308 w ramach SAP Security Patch Day w listopadzie 2026 r.
Czy do wykorzystania CVE-2026-120017 potrzebne jest uwierzytelnienie?
Według oceny CVSS producenta atak nie wymaga uwierzytelnienia. Atak jest prowadzony przez sieć.
Jak zabezpieczyć się przed CVE-2026-120017?
Należy wdrożyć poprawkę z notki SAP 3849308, a do czasu jej wdrożenia ograniczyć dostęp sieciowy do podatnego komponentu. Listę podatnych wersji i ewentualne obejścia podaje notka SAP.
Kogo dotyczy CVE-2026-120017?
Dotyczy organizacji korzystających z SAP NetWeaver Application Server ABAP. W Polsce są to głównie średnie i duże przedsiębiorstwa z systemami SAP ERP i S/4HANA oraz towarzyszącymi im komponentami NetWeaver.
