SAP發布11月例行更新，修補4個滿分漏洞

企業應用軟體公司SAP於11月10日發布本月例行更新（Security Patch Day），修補旗下多項企業軟體產品的安全漏洞。本次公布35個應用系統的資安漏洞、4個在GitHub公布的程式庫弱點，並更新先前發布的3份資安公告內容。其中最受關注的地方，在於本次修補4個CVSS嚴重程度評分達10分的重大漏洞，分別影響SAP NetWeaver AS ABAP、SAP Web Dispatcher，以及SAP Gateway等應用系統。

這4個漏洞存在共通特性，那就是攻擊者不需要事先通過身分驗證。其中，CVE-2026-76964是SAP NetWeaver AS ABAP記憶體損毀漏洞，存在於Internet Communication Manager（ICM）元件；CVE-2026-89126影響SAP Web Dispatcher，同樣涉及記憶體損毀問題，攻擊者有機會用於執行任意程式碼。CVE-2026-89103是SAP Gateway的存取控制失效漏洞，可能讓攻擊者執行未經授權的操作；CVE-2026-12001則是SAML2 Service Provider缺少身分驗證機制，攻擊者可能藉此繞過身分驗證程序，取得未經授權的存取權限。

除上述滿分漏洞，本次SAP也公布多個9.9分的危險漏洞，同樣也值得企業優先處理。這些漏洞登記為CVE-2026-109803、CVE-2026-76965，以及CVE-2026-109795，影響SAP NetWeaver Knowledge Management、ABAP Application Server，以及S4CRM。