SAP 11 月修補四項 CVSS 10.0 漏洞，其中兩項可導致遠端程式碼執行
原始來源： The Hacker News · 2026/11/10
SAP 於 2026/11/10 的月度安全修補日修復四項 CVSS 10.0（最高分）漏洞，且均無需登入即可利用。三項位於 SAP NetWeaver 應用伺服器，一項位於 Web Dispatcher。其中 Internet Communication Manager（ICM）與 Web Dispatcher 的漏洞，可讓能經網路連到服務的攻擊者以特製流量破壞記憶體並可能執行程式碼；SAML 2.0 服務提供者漏洞在部分單點登入組態下可能讓攻擊者以任意使用者登入；SAP Gateway 漏洞則可能讓外部攻擊者被當成系統自己的應用伺服器。發現 ICM、Web Dispatcher 與 Gateway 問題的研究人員表示，撰文時尚未觀察到這些漏洞遭到實際利用。建議依各 SAP Note 優先更新核心與 Web Dispatcher，並檢查 Gateway 代理清單。
重點先看
SAP 修補四項無需登入即可利用的 CVSS 10.0 漏洞，其中兩項可能遠端執行程式碼。請依公告更新核心與 Web Dispatcher，並檢查 Gateway 代理設定。
發生了什麼
依 The Hacker News 2026/11/10 報導，SAP 在月度 Security Patch Day 修復四項被評為 CVSS 10.0 的漏洞，且都不需要使用者操作，也不需要先登入。三項位於 SAP NetWeaver 應用伺服器，一項位於負責接收網際網路請求並轉送至伺服器的 Web Dispatcher。 CVE-2026-76964（ICM）與 CVE-2026-89126（Web Dispatcher）可讓能經網路連到軟體的攻擊者，以特製流量造成記憶體毀損，進而可能執行程式碼並完全控制系統。研究人員指出兩者源於核心中處理被分割 WebSocket 訊息的同一問題，WebSocket 預設為啟用，即使業務未使用也可能暴露。CVE-2026-120017 影響 SAML 2.0 服務提供者，在部分單點登入組態下，攻擊者可能以任意使用者（含高權限帳號）登入。CVE-2026-89103 影響 SAP Gateway：預設存取清單權限過高時，外部攻擊者可能被當成系統自己的應用伺服器，進而在應用環境採取未授權行動。
影響版本與修補原則
各漏洞由不同 SAP Note 修復，受影響版本依元件而異，詳細清單在需登入的 SAP for Me。發現 ICM、Web Dispatcher 與 Gateway 問題的 Onapsis 研究人員另列出多個已結束維護的核心版本也可能受影響，這些版本可能無法取得修補，而需升級至仍在維護的核心。研究人員表示已向原廠提供可運作的概念驗證，但撰文時尚未觀察到實際利用。 對 Gateway 而言，暴露與否取決於代理清單 prxyinfo，或在缺少該清單時的設定參數；僅安裝核心修補、卻未把代理範圍收斂，並不一定能讓系統脫離影響範圍。對 ICM，若使用者只能經由 Web Dispatcher 連到 ICM，且 Dispatcher 已更新、也不是以路由器模式運作，可暫時降低 ICM 被直接打到的機會，但仍應完成 ICM 本身修補。
建議立即處置
使用 SAP NetWeaver、Web Dispatcher 或 Gateway 的單位，建議依序處理： 1. 依 SAP 11 月安全公告與各 Note，盡速更新核心與所有 Web Dispatcher（含獨立與內嵌執行個體），避免漏掉任一層。 2. 盤點 ICM、Web Dispatcher 與 Gateway 連接埠是否可自網際網路或過大網段連線，能限制者先限制。 3. 檢查 Gateway 的 prxyinfo（或對等參數），改為最小必要範圍；過於寬鬆的代理清單在未修補時風險更高。 4. 使用 SAML 單點登入的 ABAP 系統，檢視受信任的身分提供者，並檢查高權限帳號是否來自非預期來源。 5. 暫時無法更新時，依原廠與研究人員建議評估關閉 WebSocket（可能影響部分功能）或先強化 Dispatcher 與網路限制，作為過渡措施。 6. 將異常流量、非維運時段的管理行為與可疑行程納入監看。
為什麼重要
這四項都是「不必先有帳號」的最高級別漏洞，且部分位於企業對外的網頁入口。ICM 與 Web Dispatcher 一旦被用來執行程式碼，影響的會是核心業務系統，而不是單一應用畫面。即便目前尚未見到公開的在野利用報告，修補窗口通常很短。 建議以 CloudCoffer UTDS 偵測針對對外入口的未知攻擊與利用嘗試，並以 DevaEye 軟體安全檢測盤點暴露面，再由 DevaEye MDR 託管防護監看修補前後的異常行為。
Cloudforce 可以協助哪些？
針對 SAP 對外元件遭未授權利用與遠端程式碼執行風險，可依下列方案對應： 1. CloudCoffer UTDS：以未知威脅偵測（MatrixShield）分析通往 Web Dispatcher、ICM 等網頁入口的流量與行為，協助發現尚未被簽章規則涵蓋的利用嘗試與異常請求；並以 MatrixScope 盤點對外 API 與服務暴露面。 2. DevaEye 軟體安全檢測：協助盤點 SAP 相關對外介面、版本與高風險設定（例如過寬的 Gateway 代理範圍），交付修補優先順序。 3. DevaEye MDR 託管防護：7×24 監看異常連線、可疑行程與橫向活動，在疑似遭利用後協助研判與應變。修補仍是首要工作。
常見問題
目前有已確認的攻擊嗎？
發現 ICM、Web Dispatcher 與 Gateway 漏洞的研究人員表示，撰文時尚未觀察到這些問題遭到實際利用。即使如此，仍應優先修補。
只要更新核心就夠了嗎？
不一定。Web Dispatcher 需一併更新，且不可漏掉獨立或內嵌執行個體；Gateway 還需收斂代理清單，否則即使已打核心修補，仍可能處於影響範圍。
哪些系統要特別檢查 SAML？
以 SAML2 供瀏覽器登入的 ABAP 系統（例如入口或 Web GUI 放在身分提供者之後）應視為可能受影響，直到確認組態或完成修補。
暫時無法更新怎麼辦？
先限制 ICM、Dispatcher 與 Gateway 的網路連線範圍；評估關閉 WebSocket 或先更新前方的 Web Dispatcher。這些都是過渡措施，不能取代正式修補。
CloudCoffer UTDS 能如何協助？
可偵測針對對外網頁入口的未知攻擊與利用嘗試，並盤點服務暴露面，協助在修補完成前降低被利用的機會。