SAP 11月更新修補4個滿分漏洞 企業應先檢查未認證暴露面
SAP 於11月10日發布 Security Patch Day 更新。iThome 報道指出，今次涉及35個應用系統漏洞、4個在 GitHub 公布的程式庫弱點，並更新3份既有資安公告；當中4個 CVSS 10 分漏洞尤其需要企業優先處理。
四個最高嚴重度漏洞分別牽涉 SAP NetWeaver AS ABAP 的 Internet Communication Manager（ICM）、SAP Web Dispatcher、SAP Gateway，以及 SAML2 Service Provider。iThome 指出，它們的共同風險在於攻擊者毋須事先通過身分驗證；對把相關服務暴露於內部網絡分區邊界、合作夥伴連線或互聯網的機構而言，修補優次會更高。
受影響元件與風險
| CVE | 元件／系統 | iThome 所述風險 |
|---|---|---|
| CVE-2026-76964 | SAP NetWeaver AS ABAP 的 ICM | RAM 損毀漏洞 |
| CVE-2026-89126 | SAP Web Dispatcher | RAM 損毀，或可被用作執行任意程式碼 |
| CVE-2026-89103 | SAP Gateway | 存取控制失效，或可導致未授權操作 |
| CVE-2026-12001 | SAML2 Service Provider | 缺少身分驗證機制，或可繞過認證並取得未授權存取 |
此外，iThome 報道列出三個 CVSS 9.9 分漏洞：CVE-2026-109803、CVE-2026-76965 及 CVE-2026-109795，分別影響 SAP NetWeaver Knowledge Management、ABAP Application Server 與 S4CRM。
香港企業應怎樣排優次
SAP 是不少香港企業的 ERP 及企業應用平台。今次資訊的實際重點，在於未認證漏洞會縮短攻擊者由接觸服務到取得權限的路徑。這不代表所有安裝了 SAP 的機構均已面對相同風險：可利用性仍取決於實際版本、啟用元件、設定，以及服務是否可被攻擊者接觸。
IT 與資安團隊可先做三項工作：
- 盤點 NetWeaver AS ABAP、Web Dispatcher、Gateway、SAML2 Service Provider，以及報道列出的其他受影響元件，核對實際版本及部署位置。
- 先檢查對外入口、反向代理、合作夥伴互連與管理介面，確認是否存在毋須認證即可到達的服務；同時檢視存取控制與網絡分段能否降低修補前的暴露面。
- 依 SAP Security Notes 安排測試及修補，並以 SAP 的 Security Patch Day 公告、各份 Security Note 和 CVE 資料庫逐項確認受影響版本、CVSS 評分與緩解措施。
由於現有資訊來自單一媒體報道，TechLab 不宜據此延伸判定特定版本必然受影響，或假設漏洞已被公開利用。較穩妥的做法，是把 iThome 所列 CVE 當作緊急核對清單，回到 SAP 官方公告確認細節後再落實變更。
下一步可留意 SAP 後續是否補充修補指引，以及企業在完成高風險元件更新後，會否將同批 9.9 分漏洞一併納入短期修補窗口。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — SAP發布11月例行更新，修補4個滿分漏洞 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
