SAP, OAuth2 SSRF güvenlik açığını duyurdu

SAP, Ekim 2026 güvenlik güncellemeleri kapsamında birçok ürününde 20 güvenlik açığını düzeltmiş durumda. Bu güncellemeler arasında en kritik olanı, Cloud SDK for Python'daki maksimum şiddetteki bir güvenlik açığı. Bu açığın CVE-2026-89111 kodu ile takip edildiği belirtiliyor ve uzaktan saldırganlar tarafından, herhangi bir yetki olmaksızın, kimlik bilgilerini çalmak için kullanılabiliyor.

OAuth2 SSRF Açığı Nedir?

SAP Python SDK, şirketin SAP Business Technology Platform (BTP) hizmetlerinde AI ajanları ve Python uygulamaları geliştirmek için resmi bir programatik araçtır. Ancak, bu SDK'daki OAuth2 SSRF açığı, çoklu kiracı BTP uygulamalarını etkileyerek, saldırganların tenant_subdomain parametresini kontrol etmesi durumunda OAuth2 token taleplerini kendi kontrolündeki bir sunucuya yönlendirmesine olanak tanıyor. Bu durum, istemci kimlik bilgilerinin sızdırılmasına yol açabiliyor.

SAP, bu açığı geçici olarak hafifletmek isteyen müşterilerine, tenant_subdomain değerlerini doğrulamak için bir izin listesi kullanmalarını öneriyor. Böylece, bilinen kiracı alt alan adlarıyla karşılaştırma yaparak güvenlik tehditlerini azaltmak mümkün hale geliyor.

Diğer Güvenlik Açıkları

Bugünkü güncellemelerde ayrıca, SAP NetWeaver Visual Composer'daki kritik bir erişim kontrol açığı olan CVE-2026-89110 da düzeltildi. Bu açığın, sınırlı yetkilere sahip uzaktan saldırganların, savunmasız sistemleri tamamen ele geçirmesine olanak tanıdığı ifade ediliyor. Ayrıca, SAP Manufacturing Integration and Intelligence'deki başka bir kritik güvenlik açığı (CVE-2026-89108) da düzeltildi; bu açığın, yönetici ayrıcalıklarına sahip tehdit aktörlerinin, temel Java uygulamasında yükseltilmiş bir ayrıcalık hesabı oluşturarak sistem üzerinde tam kontrol sağlamasına olanak tanıdığı bildirildi.

Son birkaç ayda, SAP, birçok bileşende başka maksimum şiddetteki açıkları da giderdi. Örneğin, Ağustos ayında Commerce Cloud e-ticaret platformundaki CVE-2026-58231 açığını düzeltmişti. Bu açığın, düzeltildiği günlerde aktif olarak istismar edildiği tespit edilmişti. Eylül ayında ise, SAP Kernel kodundaki CVE-2026-44756 bellek bozulma açığı düzeltildi; bu açığın, Onapsis güvenlik araştırmacıları tarafından "OVERPASS" olarak adlandırıldığı ve 10,000'den fazla internetle bağlantılı SAP sisteminin bu açığı kullandığı tahmin ediliyordu.

CISA ve SAP Güvenlik Açıkları

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Kasım 2021'den bu yana 14 SAP güvenlik açığını aktif olarak istismar edilen açıklar kataloguna ekledi. Bu açıkların üçü ise fidye yazılımı saldırılarında kullanıldı. SAP, dünya genelinde 100 büyük şirketten 99'una hizmet veren bir Alman çok uluslu yazılım şirketi olarak, 2025 mali yılında 36 milyar Euro'nun üzerinde gelir bildirmiştir.

Sonuç olarak, SAP kullanıcılarının güvenlik güncellemelerini zamanında uygulamaları ve potansiyel açıkları göz önünde bulundurarak gerekli önlemleri almaları büyük önem taşıyor. Bu tür güvenlik açıkları, hem kullanıcıların verilerini hem de şirketin itibarını tehdit edebilecek unsurlar arasında yer alıyor.